Actuele Cyberaanvallen

• Naar pagina

• Naar pagina

• Naar pagina

• Naar pagina

De Nederlandse chipmachinefabrikant ASML heeft op woensdag berichten over een vermeend datalek ontkend. De verklaring volgt op een claim van een dreigingsactor op een hackersforum, waarbij werd gesteld dat er 154 databases met gevoelige bedrijfsinformatie van de multinational uit Veldhoven online waren geplaatst. Volgens ASML is na een grondig intern onderzoek gebleken dat de beweringen ongegrond zijn en dat er geen bedrijfsgegevens in de gepubliceerde bestanden zijn aangetroffen.

De bewuste dreigingsactor publiceerde op 06 januari 2026 een bericht waarin werd beweerd dat de databases onder meer encryptiesleutels voor schijfbeveiliging, gebruikersinformatie en technische apparaatgegevens bevatten. De data werd aangeboden in SQL-formaat. Cybersecurity-onderzoekers die de datasets hebben geanalyseerd, melden echter dat de informatie niet herleidbaar is naar de systemen van ASML en mogelijk afkomstig is van andere, niet-gerelateerde bronnen of is samengesteld om forumstatus te verkrijgen.

Hoewel ASML regelmatig doelwit is van digitale spionagepogingen vanwege de strategische waarde van hun technologie, benadrukt het bedrijf dat de integriteit van de IT-systemen in dit specifieke geval niet is aangetast. Deskundigen waarschuwen dat dergelijke valse claims vaker voorkomen op ondergrondse fora, waarbij actoren proberen hun reputatie te verhogen door gerenommeerde organisaties als slachtoffer te noemen. Er is op dit moment geen bewijs dat er daadwerkelijk intellectueel eigendom of persoonlijke data van medewerkers is ontvreemd.

Screenshot

Op 13 januari 2026 is de werking van het ziekenhuis AZ Monica op de campussen Deurne en Antwerpen ernstig verstoord door een aanval op het computernetwerk. Uit voorzorg zijn alle servers uitgeschakeld, wat heeft geleid tot een volledige uitval van de digitale infrastructuur. Hierdoor is de toegang tot elektronische patiëntendossiers geblokkeerd en kunnen medische systemen die afhankelijk zijn van netwerkverbindingen, zoals MRI-scanners, niet worden gebruikt.

De directe gevolgen voor de zorgverlening zijn omvangrijk. Alle niet-dringende consultaties en operaties zijn geannuleerd, waarbij ongeveer 70 patiënten naar huis zijn gestuurd. Voor patiënten die constante zorg behoeven, is besloten tot overplaatsing van zeven personen naar andere ziekenhuizen. De spoeddienst werkt met een beperkte capaciteit en het Mobiele Urgentieteam (MUG) en het Paramedisch Interventieteam (PIT) zijn tijdelijk niet inzetbaar. Om de acute hulpverlening in de regio te waarborgen, is het provinciaal rampenplan geactiveerd, waardoor omliggende ziekenhuizen de dringende interventies overnemen.

Het parket van Antwerpen is een gerechtelijk onderzoek gestart naar de feiten. De Computer Crime Unit van de federale gerechtelijke politie is ter plaatse voor onderzoek, en het Cyber Emergency Response Team (CERT) is ingeschakeld voor ondersteuning. De focus ligt op het vaststellen van de aard van de inbreuk en het veilig herstellen van de systemen. Volgens de ziekenhuisdirectie zijn er tot op dit moment geen indicaties dat er patiëntengegevens zijn buitgemaakt. Het is de eerste keer dat een digitale aanval op de instelling tot een dergelijke systeemuitval leidt.

De IT-infrastructuur van de Belgische ziekenhuisgroep AZ Monica is op dinsdagochtend getroffen door een cyberaanval. Hoewel er veel vragen rijzen over de verantwoordelijke actoren, is de specifieke identiteit van de cybercriminelen op dit moment nog niet officieel vastgesteld of bekendgemaakt. Het ziekenhuis heeft preventief alle servers uitgeschakeld om verdere verspreiding van de malware te voorkomen, wat heeft geleid tot een aanzienlijke verstoring van de zorgverlening op de campussen in Deurne en Antwerpen.

De aanval vertoont de kenmerken van een incident met gijzelsoftware, aangezien er melding is gemaakt van afpersing. Desondanks heeft tot dusver geen enkele hackersgroep de aanval publiekelijk opgeëist via de gebruikelijke kanalen op het darkweb. Het identificeren van de daders, ook wel attributie genoemd, is in deze vroege fase van het onderzoek complex. De Federal Computer Crime Unit en het Cyber Emergency Response Team voeren momenteel een forensisch onderzoek uit om digitale sporen te analyseren die naar de daders kunnen leiden.

De operationele impact op het ziekenhuis blijft onverminderd groot. Ongeveer zeventig geplande operaties zijn geannuleerd en zeven patiënten die afhankelijk zijn van hoogtechnologische zorg zijn overgeplaatst naar het Universitair Ziekenhuis Antwerpen en het Ziekenhuis Netwerk Antwerpen. De spoeddiensten blijven grotendeels gesloten voor ambulance-aanvoer, met uitzondering van levensbedreigende situaties. Het personeel hanteert noodprocedures en analoge dossiervoering om de continuïteit van de patiëntenzorg te waarborgen.

Er is momenteel geen prognose beschikbaar over wanneer de systemen weer volledig operationeel zullen zijn of wanneer er meer informatie over de achterliggende dadergroep kan worden vrijgegeven. De prioriteit van de onderzoekers ligt bij het veiligstellen van de omgeving en het voorkomen van datalekken.

De ict-infrastructuur van het Openbaar Ministerie is bijna volledig hersteld van de Citrix-inbraak die ongeveer een half jaar geleden plaatsvond. Demissionair minister Van Oosten van Justitie en Veiligheid heeft in antwoord op Kamervragen bevestigd dat het herstelproces zich momenteel in de afrondende fase bevindt. De digitale inbraak en de daaropvolgende veiligheidsmaatregelen hebben geleid tot een langdurige verstoring van de werkzaamheden binnen de organisatie.

De incidentenreeks begon op 17 juli vorig jaar, nadat het Nationaal Cyber Security Centrum (NCSC) waarschuwde voor een kwetsbaarheid in Citrix-systemen. Deze systemen zijn binnen de organisatie essentieel voor de veilige toegang tot de interne werkomgeving voor medewerkers die op afstand werken. Uit voorzorg besloot het Openbaar Ministerie direct om de interne systemen los te koppelen van het internet. Deze ingreep, gecombineerd met de vastgestelde inbraak, zorgde voor aanzienlijke ict-problemen. In november vorig jaar leidde dit tot een brandbrief die door duizenden medewerkers van het Openbaar Ministerie werd ondertekend om de noodklok te luiden over de staat van de informatievoorziening.

Volgens de minister is de toegang tot de mobiele mail, de agenda en de algemene thuiswerkfunctionaliteit inmiddels hersteld. Het merendeel van het personeel kan hierdoor de reguliere werkzaamheden weer volledig uitvoeren. De bewindsman erkent dat de medewerkers door de nasleep van de inbraak en reeds langer aanwezige ict-tekortkomingen onder grote druk zijn komen te staan. De verantwoordelijkheid voor het adresseren van de specifieke zorgen van het personeel en het beheer van de kantoorautomatisering ligt primair bij het College van procureurs-generaal.

Het Openbaar Ministerie is voornemens om de komende jaren een omvangrijke inhaalslag te maken op het gebied van de ict-infrastructuur. Deze investeringen zijn specifiek gericht op het moderniseren van de kantoorautomatisering en de infrastructuur voor de informatievoorziening. Hiermee moet de digitale weerbaarheid van de organisatie worden verhoogd en de stabiliteit van de werkomgeving voor de medewerkers structureel worden gewaarborgd.

Bron 1

Op dinsdag 13 januari 2026 is de zorgverlening in Antwerpen ernstig verstoord door een grootschalige cyberaanval. Het ziekenhuis AZ Monica, met campussen in Deurne en Antwerpen, is het slachtoffer geworden van ransomware. Om de verspreiding van de gijzelsoftware te stuiten, heeft de IT-afdeling rond 06:30 uur besloten alle servers en internetverbonden systemen proactief uit te schakelen.

De impact op de operationele continuïteit is aanzienlijk. Door het uitschakelen van de servers zijn elektronische patiëntendossiers ontoegankelijk en kunnen medische beeldvormingstechnieken, zoals MRI-scans, niet worden uitgevoerd. Dit heeft geleid tot de annulering van zeker zeventig geplande operaties. Ook dringende ingrepen konden op de getroffen locaties niet plaatsvinden, waarbij zeven patiënten die kritieke zorg behoefden zijn overgeplaatst naar omliggende ziekenhuizen.

Hoewel de spoeddienst op verminderde capaciteit operationeel bleef, zijn de MUG- en PIT-diensten tijdelijk buiten gebruik gesteld. Het parket van Antwerpen heeft inmiddels bevestigd dat er een gerechtelijk onderzoek is gestart naar de aanval. Over de identiteit van de verantwoordelijke actor of een eventuele losgeldeis zijn op dit moment geen officiële mededelingen gedaan. De focus ligt momenteel op het forensisch onderzoek en het veilig herstellen van de systemen.

De campus Antwerpen van het ziekenhuis AZ Monica hervat op donderdag 15 januari de zorgverlening. Het ziekenhuis werd op dinsdag 13 januari het doelwit van een cyberaanval, wat leidde tot het onmiddellijk uitschakelen van de servers en het stilleggen van de reguliere activiteiten. In samenspraak met de directie is besloten om de operaties op de locaties in Antwerpen en Deurne voorlopig op 50 procent van de normale capaciteit uit te voeren.

Tijdens de eerste fase na de aanval kon ongeveer 30 procent van de geplande zorg doorgang vinden door het aanpassen en stroomlijnen van interne processen. Op de campus in Deurne bleven consultaties en behandelingen in het dagziekenhuis en het oncologisch centrum operationeel. Met de heropening van de campus in de Harmoniestraat worden ook de afdelingen orthopedie en mond-, kaak- en aangezichtchirurgie weer stapsgewijs opgestart.

De technische infrastructuur van het ziekenhuis blijft vooralsnog offline. Het uitschakelen van het netwerk was een preventieve maatregel om verdere verspreiding van de schadelijke software te voorkomen. De technische dienst werkt aan een stappenplan voor een veilige heropstart, waarbij de focus ligt op het definitief afsluiten van de digitale toegangsweg die door de aanvallers is gebruikt. Er is momenteel geen concrete tijdlijn vastgesteld voor wanneer de computersystemen weer volledig operationeel zullen zijn.

Het incident is geïdentificeerd als een aanval met ransomware. Hoewel er door de daders een boodschap is achtergelaten, is de ziekenhuisorganisatie hier niet op ingegaan. Volgens de officiële berichtgeving is er geen sprake van een losgeldeis. De Computer Crime Unit van de federale gerechtelijke politie is belast met het onderzoek naar de toedracht. Er zijn op dit moment geen aanwijzingen dat er patiëntengegevens zijn ontvreemd tijdens de inbreuk.

Voor de communicatie met patiënten is een externe noodwebsite ingericht met praktische informatie en contactgegevens. Patiënten van wie de afspraken niet kunnen doorgaan, worden rechtstreeks door het ziekenhuis geïnformeerd. Er vindt momenteel geen structurele overplaatsing van patiënten naar andere medische instellingen plaats.

Bron 1

Ziekenhuis AZ Monica is getroffen door een cyberaanval die grote gevolgen heeft voor de operationele werking op de campussen in Antwerpen en Deurne. De IT-systemen van de instelling zijn momenteel volledig uitgeschakeld en kunnen nog niet worden opgestart. Hierdoor draait het ziekenhuis op een beperkte capaciteit en wordt per patiënt geëvalueerd op welke wijze veilige zorg kan worden verleend.

De impact op patiënten is aanzienlijk. Behandelende artsen beoordelen individueel of geplande consultaties, behandelingen, onderzoeken of ingrepen onder de huidige omstandigheden doorgang kunnen vinden. Patiënten worden hierover telefonisch gecontacteerd door het ziekenhuis. Voor fysieke bezoeken aan het ziekenhuis moet rekening worden gehouden met een tragere inschrijvingsprocedure, omdat de registratie noodgedwongen handmatig op papier plaatsvindt. Het ziekenhuis verzoekt patiënten om klevertjes van de mutualiteit en beschikbare medische informatie mee te nemen naar hun afspraak. Ook wordt aangeraden de CoZo-app op een mobiele telefoon te installeren om medische gegevens met artsen te kunnen delen.

Patiënten die worden opgenomen, wordt gevraagd hun medicatie in de originele verpakking mee te brengen, inclusief een actueel overzicht van het medicatiegebruik. Voor patiënten die reeds gehospitaliseerd zijn op de campussen in Antwerpen en Deurne verandert er niets aan de zorgverlening. Zij kunnen tevens bezoek ontvangen tijdens de reguliere bezoekuren.

De spoeddienst van AZ Monica draait momenteel op een lage capaciteit. Er worden geen patiënten per ziekenwagen naar de spoedafdeling gebracht. Bij een dringende zorgvraag wordt verzocht contact op te nemen met de huisarts, een huisartsenwachtpost of een andere spoeddienst. Voor praktische vragen over afspraken heeft het ziekenhuis een crisisnummer opengesteld op +32 497 47 70 73, bereikbaar tussen 08:00 en 18:00 uur. Voor dringende medische interventies moet contact worden opgenomen met het noodnummer 112.

Bron

Het Antwerpse parket is een opsporingsonderzoek gestart naar een cyberaanval op het AZ Monica ziekenhuis, dat vestigingen heeft in Antwerpen en Deurne. De feiten worden onderzocht door de Federal Computer Crime Unit (FCCU) van de federale politie en hebben betrekking op hacking, datasabotage en afpersing. Hoewel de impact van de aanval aanzienlijk is, blijft de exacte omvang van de gevolgen op dit moment nog onduidelijk terwijl het ziekenhuis de zorg voor patiënten probeert voort te zetten.

Volgens referentiemagistraat cybercrime Peter Peereboom is de prioriteit momenteel het dichten van het digitale lek. Pas wanneer de systemen weer veilig zijn, kan met zekerheid worden vastgesteld hoe de schade is ontstaan en of er gegevens zijn ontvreemd. Er is bevestigd dat het gaat om een ransomware-aanval waarbij systemen deels zijn geëncrypteerd door de aanvallers. Hoewel het ziekenhuis eerder aangaf dat er geen patiëntengegevens zouden zijn gestolen, moet nader onderzoek uitwijzen of deze claim standhoudt. Tot op heden zijn er geen gestolen gegevens aangetroffen op het darkweb.

De daders achter de aanval hebben zich nog niet kenbaar gemaakt en er is vooralsnog geen losgeld geëist. Volgens het parket is dit niet ongebruikelijk; aanvallers wachten soms tot het slachtoffer zelf contact opneemt of laten een boodschap achter die pas na technisch herstel zichtbaar wordt. Het is nog onbekend of de aanval afkomstig is van een buitenlandse mogendheid of van financieel gedreven criminelen. Er wordt rekening gehouden met opportunisme, waarbij mogelijk misbruik is gemaakt van bekende kwetsbaarheden in specifieke software die door het ziekenhuis wordt gebruikt.

De magistraat benadrukt dat dergelijke ransomware-aanvallen regelmatig voorkomen, maar vaak minder zichtbaar zijn wanneer er geen vitale sectoren zoals de zorg worden getroffen. Bedrijven zijn wettelijk verplicht om diefstal van persoonsgegevens te melden, maar bij de diefstal van puur zakelijke data zoals boekhoudingen blijft een melding soms achterwege. Over het eventueel betalen van losgeld is het standpunt vanuit gerechtelijke kringen dat dit niet wordt aangeraden, aangezien het criminele netwerken financiert en nieuwe aanvallen stimuleert.

Het AZ Monica ziekenhuis in Deurne heeft de werking van de eigen mug- en PIT-ziekenwagens gedeeltelijk hervat na een eerdere cyberaanval waarbij alle servers werden uitgeschakeld. Hoewel de digitale systemen nog niet volledig operationeel zijn, kiest de directie ervoor om bepaalde spoedgevallen opnieuw naar de eigen campus te laten rijden. Deze beslissing is genomen om de aanhoudende druk op de omliggende ziekenhuizen in de regio Antwerpen te verlichten, aangezien deze instellingen reeds tegen hun maximumcapaciteit aanliepen.

De heropening voor ambulancevervoer is momenteel onderworpen aan strikte beperkingen. Er worden enkel patiënten binnengebracht die geen medische scans zoals een MRI of CT-scan nodig hebben. Omdat de servers van het ziekenhuis nog altijd offline zijn, is het uitvoeren van dergelijke beeldvorming onmogelijk. Dit zorgt voor een extra belasting bij andere zorginstellingen, aangezien afspraken voor scans daar doorgaans van de vroege ochtend tot de late avond volgeboekt zijn.

Sinds de aanval op dinsdag 13 januari zijn de activiteiten in het ziekenhuis stapsgewijs hervat. Op dit moment functioneert het ziekenhuis op ongeveer 50 procent van de normale capaciteit. Op de campus in Deurne zijn de consultaties, het oncologisch centrum en het dagziekenhuis weer actief. In de vestiging in de Harmoniestraat in Antwerpen zijn de afdelingen orthopedie en mond-, kaak- en aangezichtchirurgie eveneens operationeel. Algemeen directeur Geert Smits geeft aan dat verdere opschaling pas zal plaatsvinden zodra alle IT-systemen weer volledig beschikbaar zijn. Voorlopig kunnen er in Deurne dagelijks circa 50 operaties worden uitgevoerd en in Antwerpen ongeveer 40.

Bron

De Fraudehelpdesk heeft over het afgelopen jaar een aanzienlijke stijging waargenomen in het aantal meldingen van oplichting via het boekingsplatform Booking.com. Zeker tweehonderd Nederlanders zijn in 2025 slachtoffer geworden van fraudeurs die opereerden via gehackte hotelaccounts, waarbij de totale schade is opgelopen tot meer dan 65.000 euro. Deze cijfers werden door de organisatie bevestigd tegenover De Telegraaf. In vergelijking met het voorgaande jaar is er sprake van een forse toename, aangezien de instantie in 2024 nog negenentachtig meldingen registreerde met een schadebedrag van bijna 25.000 euro.

De werkwijze van de aanvallers kenmerkt zich door het compromitteren van de computersystemen van hotels zelf. Door deze systemen binnen te dringen, weten criminelen de inloggegevens te bemachtigen die hotels gebruiken voor hun communicatie op het platform van Booking.com. Met deze toegang kunnen de aanvallers berichten versturen vanuit het officiële account van het hotel, waardoor de communicatie voor gasten authentiek oogt. Slachtoffers ontvangen berichten waarin wordt gesteld dat zij hun gegevens moeten verifiëren, een extra betaling moeten voldoen of een andere handeling moeten verrichten via een meegestuurde link.

Deze links verwijzen naar phishingsites die zijn opgezet om gevoelige informatie, zoals creditcardgegevens, te ontvreemden. De aanvalsmethodiek sluit aan bij recente waarschuwingen van beveiligingsbedrijven over campagnes waarbij getracht wordt hotels met malware te infecteren om toegang tot hun systemen te verkrijgen. De gerapporteerde schadecijfers geven slechts een indicatie van de werkelijke omvang van de fraude. De data van de Fraudehelpdesk omvatten enkel de meldingen die rechtstreeks bij hen zijn binnengekomen, terwijl aangiften en meldingen bij de politie in deze statistieken niet zijn meegenomen.

Bron

Het Luxemburgse advocatenkantoor SJL Jimenez Lunz is het doelwit geworden van een cyberaanval. Volgens recente meldingen is de organisatie, die internationaal opereert binnen de juridische dienstverlening, slachtoffer geworden van MS13-089 ransomware. Het bedrijf is online actief via het domein sjl-legal.com en staat bekend om zijn expertise in de juridische sector.

De aanval werd op 15 januari 2026 officieel gerapporteerd. De verantwoordelijkheid voor de digitale inbreuk wordt toegeschreven aan de actoren achter de MS13-089 ransomware. Bij dergelijke incidenten in de juridische sector is er vaak sprake van ongeoorloofde toegang tot gevoelige bedrijfs- of cliëntinformatie, hoewel specifieke details over de omvang van de eventueel buitgemaakte data in dit stadium nog niet publiekelijk zijn bevestigd.

Voor de zakelijke gemeenschap in de Benelux onderstreept dit incident de aanhoudende dreiging van ransomware voor professionele dienstverleners. Omdat SJL Jimenez Lunz gevestigd is in Luxemburg, heeft dit direct betrekking op de veiligheid van het grensoverschrijdende juridische en financiële verkeer binnen de regio. Er is momenteel geen informatie beschikbaar over de status van de herstelwerkzaamheden of eventuele eisen van de aanvallers.

Op 20 januari 2026 is het Veenkoloniaal Museum, gevestigd te Veendam, toegevoegd aan de lijst van slachtoffers op de publieke lek-site van de ransomwaregroep LockBit. De melding werd geregistreerd onder de specifieke groepsnaam 'Lockbit5', wat duidt op een recente activiteit van deze criminele organisatie.
De aanvallers hebben bij de claim, zoals gebruikelijk bij deze vorm van cybercriminaliteit, bewijsmateriaal geplaatst. Dit betreft een screenshot van bestandsmappen of data die naar verluidt tijdens de aanval zijn buitgemaakt. De exacte aard en omvang van de ontvreemde gegevens zijn op dit moment nog niet publiekelijk bevestigd door het museum zelf. Het Veenkoloniaal Museum beheert collecties die de geschiedenis van de Groninger Veenkoloniën, de landbouwindustrie en de zeevaart in de regio belichten.
Uit technische gegevens die bij de waarneming zijn vastgelegd, blijkt dat de domeinnaam van het museum gebruikmaakt van Microsoft 365-diensten. De aanvallers dreigen doorgaans met het publiceren van gevoelige interne informatie indien er niet aan de losgeldeisen wordt voldaan.
LockBit opereert als een Ransomware-as-a-Service (RaaS) en is ondanks eerdere internationale politieacties nog steeds actief via verschillende affiliates. De toevoeging van het Veenkoloniaal Museum aan hun site markeert een nieuw incident gericht op de Nederlandse culturele sector.

Screenshot

De politie Noord-Holland heeft in 2025 een aanzienlijke toename gezien in meldingen van cybercriminaliteit, met name bankhelpdeskfraude en accountmisbruik. Uit het recentelijk gepresenteerde Jaarbeeld 2025 blijkt dat er meer dan 3400 meldingen zijn binnengekomen. Bankhelpdeskfraude en accountmisbruik vormen hierbij het grootste aandeel.
De modus operandi bij bankhelpdeskfraude is doorgaans dat criminelen zich voordoen als medewerkers van een bank. Ze nemen telefonisch contact op met potentiële slachtoffers en proberen hen te overtuigen om geld over te maken naar een zogenaamde veilige rekening, of om persoonlijke gegevens af te geven. Deze gegevens worden vervolgens gebruikt om toegang te krijgen tot de bankrekening van het slachtoffer. Bij accountmisbruik gaat het vaak om het onrechtmatig verkrijgen van toegang tot online accounts, zoals e-mail, sociale media of webwinkels, waarna deze accounts worden misbruikt voor bijvoorbeeld phishing of identiteitsfraude.
Opvallend is de demografische scheiding tussen daders en slachtoffers. De politie constateert dat verdachten vaak jongvolwassenen zijn, terwijl de slachtoffers overwegend 65-plussers zijn. Dit maakt deze groep extra kwetsbaar voor de manipulatieve tactieken die door de fraudeurs worden toegepast. De politie vermoedt dat het werkelijke aantal slachtoffers aanzienlijk hoger ligt dan de gemelde gevallen, omdat veel mensen zich schamen om aangifte te doen.
Politiechef Noord-Holland Hamit Karakus benadrukt het belang van aangifte doen, ondanks de schaamte die slachtoffers mogelijk ervaren. "Digitale criminaliteit is geen ver-van-ons-bed-show meer. Eén klik kan tientallen slachtoffers maken, vaak binnen enkele uren. Dat slachtoffers zich schamen om aangifte te doen, raakt mij. Juist melden helpt ons deze vorm van criminaliteit te stoppen," aldus Karakus.
Als reactie op de toenemende cybercriminaliteit kondigt de politie Noord-Holland aan dat er in 2026 geïnvesteerd zal worden in digitale wijkagenten en cyberteams. Deze teams zullen zich specifiek richten op het opsporen en bestrijden van cybercriminaliteit, en het bieden van ondersteuning en voorlichting aan burgers. Het is van cruciaal belang dat de politie over de juiste middelen en expertise beschikt om deze vorm van criminaliteit effectief aan te pakken, gezien de complexiteit en de voortdurende evolutie van de methoden die door cybercriminelen worden gebruikt.
De politie Noord-Holland roept burgers op om alert te zijn op verdachte telefoontjes, e-mails en berichten, en om nooit persoonlijke gegevens of bankgegevens te delen met onbekenden. Bij twijfel wordt aangeraden om direct contact op te nemen met de eigen bank of met de politie. Het voorkomen van cybercriminaliteit begint met bewustwording en voorzichtigheid.
Bron

Blijdorp, een zorginstelling voor mensen met een mentale handicap, getroffen door een cyberincident. Volgens Céline Jansen, communicatiemedewerker bij Blijdorp, werd het incident snel opgemerkt door de IT-diensten. Als voorzorgsmaatregel werden de lokale servers van Blijdorp tijdelijk uitgeschakeld. Hierdoor was Blijdorp in Buggenhout gedurende een korte tijd telefonisch onbereikbaar. De cloudtoepassingen, waarin de actuele gegevens van de cliënten zijn opgeslagen, bleven echter normaal functioneren, en er was geen verstoring in de zorgverlening.

Hoewel het incident aanvankelijk zorgde voor tijdelijke technische ongemakken, lijkt de schade beperkt te zijn. "Ons IT-team werkt samen met een cyberexpert om de situatie verder te analyseren en zo snel mogelijk alles weer volledig operationeel te krijgen", aldus Jansen. De cliënten van Blijdorp hebben geen hinder ondervonden van het incident, en de online zorgsoftware werkte zoals gewoonlijk, waardoor de zorgverlening ongestoord doorging.

Blijdorp benadrukte dat de veiligheid en het welzijn van de cliënten altijd voorop staan, en dat er verder geen verstoringen waren die invloed hadden op hun zorg of gegevensbeheer. De instelling blijft nauw samenwerken met experts om ervoor te zorgen dat alle systemen zo snel mogelijk weer in hun normale staat functioneren.

Bron

De ransomwaregroep Akira heeft op 22 januari 2026 het Belgische bedrijf Van Eycken toegevoegd aan de lijst van slachtoffers op hun lek-website. De cybercriminelen beweren verantwoordelijk te zijn voor een aanval op de onderneming en stellen dat zij over een aanzienlijke hoeveelheid interne data beschikken. Volgens de claim van de groepering is er in totaal 69 gigabyte aan bedrijfsgegevens buitgemaakt die zij binnenkort openbaar zullen maken.

De hackers specificeren dat de ontvreemde dataset diverse gevoelige documenten bevat. Het zou hierbij gaan om gedetailleerde persoonlijke informatie van werknemers, inclusief paspoorten en scans van andere identiteitsdocumenten. Daarnaast claimt Akira toegang te hebben verkregen tot HR-dossiers, financiële administratie, projectbestanden en vertrouwelijkheidsovereenkomsten. De groepering heeft aangekondigd deze informatie te zullen uploaden, maar heeft in de publicatie geen specifieke deadline of losgeldbedrag vermeld.

Van Eycken is een in België gevestigde onderneming die gespecialiseerd is in het leveren van oplossingen op het gebied van metaalbewerking en infrastructuur. De bedrijfsactiviteiten omvatten onder meer de realisatie van leuningen, structuren, bruggen, voertuigkeringen, geluidsschermen en diverse assemblagewerkzaamheden. De melding van het incident is uitsluitend gebaseerd op de informatie die door de ransomwaregroep zelf naar buiten is gebracht via hun communicatiekanalen op het dark web.

Screenshot

Iets meer dan een week na de cyberaanval op het Antwerpse ziekenhuis AZ Monica is er nog geen zicht op een heropstart van de computersystemen. Dit meldde het ziekenhuis in een persbericht op woensdagavond. Het ziekenhuis werd op 13 januari het slachtoffer van een cyberaanval, waarna uit voorzorg de servers van de campussen in Deurne en Antwerpen werden uitgeschakeld.
Het IT-team van AZ Monica, bestaande uit ongeveer tien personen, krijgt ondersteuning van de Computer Crime Unit van de politie. Het herstelproces is complex en tijdrovend, omdat pas nadat alle servers opnieuw functioneren, ook de elektronische patiëntendossiers en medicatiedossiers weer naar behoren kunnen werken.
Totdat de systemen volledig zijn hersteld, zijn artsen genoodzaakt om voor bepaalde taken terug te vallen op traditionele methoden, zoals het gebruik van pen en papier. Ondanks deze tijdelijke werkoplossingen, heeft de cyberaanval een aanzienlijke impact op de dagelijkse werking van het ziekenhuis.
Volgens AZ Monica gaat momenteel ongeveer zeventig procent van alle geplande chirurgische ingrepen door. De meeste geplande consultaties kunnen plaatsvinden. De dienst Medische Beeldvorming is in beperkte mate weer operationeel, waardoor (spoed)patiënten en een deel van de ambulante afspraken geholpen kunnen worden. Het ziekenhuis werkt hard aan het verder herstellen van de functionaliteit van de systemen om de patiëntenzorg zo min mogelijk te belemmeren.
De directeur van AZ Monica had vorige week al aangegeven dat het ziekenhuis niet ingaat op eventuele losgeldeisen van de hackers. Er is tot op heden geen indicatie dat er gegevens zijn gelekt als gevolg van de aanval. Dit standpunt werd woensdag herhaald. Het ziekenhuis heeft een tijdelijke website in het leven geroepen, www.azmonica.be, waar mensen met een afspraak terecht kunnen voor meer informatie over de actuele situatie en eventuele wijzigingen in afspraken. De prioriteit van AZ Monica ligt bij het herstellen van de systemen en het waarborgen van de continuïteit van de zorgverlening aan haar patiënten. De impact van de aanval benadrukt het belang van robuuste cybersecuritymaatregelen in de gezondheidszorgsector.
De cyberaanval op AZ Monica toont aan hoe kwetsbaar de gezondheidszorg is voor cybercriminaliteit. Ziekenhuizen zijn aantrekkelijke doelwitten voor hackers, omdat ze beschikken over gevoelige patiëntgegevens en afhankelijk zijn van een goed functionerende IT-infrastructuur voor de dagelijkse bedrijfsvoering. Een succesvolle aanval kan leiden tot verstoring van de zorgverlening, financiële schade en reputatieschade. Het is daarom essentieel dat ziekenhuizen investeren in adequate beveiligingsmaatregelen, zoals firewalls, intrusion detection systems, encryptie en regelmatige back-ups. Daarnaast is het belangrijk om medewerkers bewust te maken van de risico's van cyberaanvallen en hen te trainen in het herkennen van phishing en andere vormen van social engineering. Regelmatige security audits en penetratietesten kunnen helpen om kwetsbaarheden in de IT-infrastructuur op te sporen en te verhelpen. Samenwerking tussen ziekenhuizen, overheid en cybersecurity experts is cruciaal om de cyberveiligheid van de gezondheidszorg te verbeteren.
Bron

Onderzoekers op het gebied van cyberbeveiliging hebben details openbaar gemaakt over een nieuwe variant van de Shai-Hulud malware die is aangetroffen in de npm-registry. Daarnaast is er een kwaadaardig pakket geïdentificeerd op Maven Central dat zich voordeed als een legitieme bibliotheek om gevoelige gegevens te stelen en malware te verspreiden. Beide incidenten tonen aan hoe aanvallers vertrouwde afhankelijkheden misbruiken in de softwareketen.

Het npm-pakket dat de nieuwe Shai-Hulud variant bevat, draagt de naam @vietmoney/react-big-calendar. Dit pakket werd oorspronkelijk in maart 2021 geüpload door een gebruiker genaamd hoquocdat, maar ontving op 28 december 2025 een update naar versie 0.26.2. Hoewel het pakket in totaal 698 keer is gedownload, is de laatste versie 197 keer binnengehaald. Beveiligingsonderzoekers melden dat er nog geen grote verspreiding of infecties zijn waargenomen, wat suggereert dat de aanvallers hun payload waarschijnlijk aan het testen waren. Uit analyse van de code blijkt dat deze opnieuw is geobfusceerd vanuit de broncode, wat impliceert dat de daders toegang hebben tot de originele broncode van de worm en niet slechts kopieerders zijn.

De Shai-Hulud aanval werd voor het eerst waargenomen in september 2025. Hierbij stalen getrojaniseerde npm-pakketten gevoelige data zoals API-sleutels en inloggegevens, die vervolgens naar GitHub-repositories werden gestuurd. Een tweede golf volgde in november 2025. Een cruciaal kenmerk van deze campagne is het vermogen om gestolen npm-tokens te gebruiken om andere pakketten van de ontwikkelaar op te halen, deze te infecteren met dezelfde kwaadaardige code en opnieuw te publiceren. Dit mechanisme zorgt voor een worm-achtige verspreiding binnen de toeleveringsketen.

De recent ontdekte variant vertoont diverse wijzigingen ten opzichte van eerdere versies. Het initiële bestand heet nu bun_installer.js en de hoofdlading wordt aangeduid als environment_source.js. De GitHub-repositories waarnaar de geheimen worden gelekt, dragen de beschrijving "Goldox-T3chs: Only Happy Girl". De bestandsnamen waarin de gestolen geheimen worden opgeslagen zijn gewijzigd naar onder meer 3nvir0nm3nt.json, cl0vd.json, c9nt3nts.json, pigS3cr3ts.json en actionsSecrets.json. Een opvallende verandering is de verwijdering van de zogenaamde dead man switch, die in eerdere versies zorgde voor het wissen van data als er geen tokens werden gevonden. Daarnaast zijn er verbeteringen doorgevoerd in de foutafhandeling en de manier waarop pakketten worden gepubliceerd op basis van het besturingssysteem.

Naast de npm-malware is er ook een kwaadaardig pakket op Maven Central aangetroffen. Het pakket org.fasterxml.jackson.core/jackson-databind deed zich voor als de legitieme Jackson JSON-bibliotheek com.fasterxml.jackson.core. Dit is een vorm van typosquatting waarbij misbruik wordt gemaakt van de visuele gelijkenis tussen org en com in de naamgeving. Het pakket is inmiddels offline gehaald. Binnen het Java Archive-bestand bevond zich zwaar geobfusceerde code die automatisch werd uitgevoerd zodra een ontwikkelaar de afhankelijkheid toevoegde aan een Spring Boot-applicatie. De malware controleerde op de aanwezigheid van een bestand genaamd .idea.pid om te bepalen of het op een ontwikkelaarsmachine draaide; als dit bestand werd gevonden, stopte de malware om detectie te voorkomen.

Vervolgens nam de malware contact op met een externe server op het domein m.fasterxml.org om een versleutelde payload op te halen. Deze payload betreft een Cobalt Strike beacon, een tool die doorgaans wordt gebruikt voor simulaties door beveiligingsteams maar hier wordt misbruikt voor post-exploitatie. Op Windows-systemen werd een bestand genaamd svchosts.exe gedownload, terwijl macOS-systemen een payload genaamd update ontvingen. Het gebruikte domein fasterxml.org werd geregistreerd op 17 december 2025, kort voor de detectie van het pakket. Het incident legt een zwakke plek bloot in de detectiemogelijkheden van Maven Central met betrekking tot pakketten die legitieme naamruimtes imiteren.

Bron 1, 2, 3, 4, 5

Large Language Models hebben de softwareontwikkeling ingrijpend veranderd door programmeermogelijkheden toegankelijk te maken voor een breed publiek. Deze toegenomen toegankelijkheid heeft echter geleid tot een nieuwe beveiligingscrisis, waarbij geavanceerde AI-tools nu als wapen worden ingezet voor het automatiseren van complexe exploits tegen bedrijfssoftware. Deze ontwikkeling vormt een fundamentele uitdaging voor de huidige beveiligingsprincipes, waarbij de technische complexiteit van het uitbuiten van kwetsbaarheden voorheen fungeerde als een natuurlijke barrière tegen minder ervaren aanvallers.

Het dreigingslandschap ondergaat een snelle evolutie nu kwaadwillenden deze modellen gebruiken om theoretische beschrijvingen van kwetsbaarheden om te zetten in werkende aanvalsscripts. Door LLM's te manipuleren, kunnen aanvallers veiligheidsmechanismen omzeilen en functionele exploits genereren voor kritieke systemen, zonder dat zij diepgaande kennis nodig hebben van interne systeemprocessen of geheugenbeheer. Deze capaciteit stelt personen met beperkte programmeerkennis in staat om effectieve cyberaanvallen uit te voeren op productieomgevingen, waardoor de drempel voor succesvolle aanvallen aanzienlijk wordt verlaagd.

Onderzoekers van de Universiteit van Luxemburg en de Universiteit Cheikh Anta Diop hebben deze specifieke dreiging in kaart gebracht en gedemonstreerd. In hun studie toonden zij aan dat veelgebruikte modellen zoals GPT-4o en Claude via social engineering gemanipuleerd kunnen worden om beveiligingslekken te misbruiken. De onderzoekers demonstreerden dat deze AI-modellen in staat waren om Odoo ERP-systemen te compromitteren met een succespercentage van 100 procent. De studie benadrukt dat het onderscheid tussen technische en niet-technische aanvallers hierdoor vervaagt, aangezien aanvallers systematisch kwetsbare softwareversies kunnen identificeren en deze kunnen inzetten voor geautomatiseerde tests om aanvallen snel te verfijnen.

De kern van deze dreiging ligt in de RSA-strategie, wat staat voor Role-play, Scenario en Action. Deze geavanceerde pretexting-techniek wordt gebruikt om de veiligheidsfilters van LLM's systematisch te omzeilen door de context waarin een vraag wordt gesteld te manipuleren. In plaats van direct om een schadelijke exploit te vragen, hanteert de aanvaller een gelaagde aanpak om het model te misleiden. Eerst krijgt het model een onschuldige rol toegewezen, zoals die van een onderzoeker of educatieve assistent. Vervolgens wordt een scenario geschetst waarin de vraag binnen een veilige omgeving wordt geplaatst, zoals een laboratoriumtest of een bug bounty-programma. Tot slot wordt de AI gevraagd om specifieke acties uit te voeren die de benodigde code genereren.

Deze vorm van gestructureerde manipulatie omzeilt de ingebouwde veiligheidstraining van de modellen effectief. Het model raakt ervan overtuigd dat het genereren van de code een legitieme en behulpzame handeling is. De output resulteert vaak in volledig functionele scripts in talen zoals Python of Bash, waarmee acties zoals SQL-injecties of het omzeilen van authenticatie kunnen worden uitgevoerd. De bevindingen tonen aan dat de huidige veiligheidsmaatregelen ontoereikend zijn tegen deze vorm van contextbewuste social engineering en dat traditionele aannames over de technische drempels voor cyberaanvallen herzien moeten worden.

Bron 1

Een nieuwe variant van de GlassWorm-malware richt zich specifiek op macOS-systemen door gebruik te maken van kwaadaardige extensies voor Visual Studio Code. Deze zelfverspreidende worm wordt gedistribueerd via de Open VSX-marktplaats en heeft in korte tijd meer dan 50.000 downloads verzameld. De huidige aanvalscampagne markeert een belangrijke verschuiving in de strategie van de dreigingsactor, die voorheen voornamelijk Windows-gebruikers als doelwit had. De vierde golf van deze malware introduceert geavanceerde ontwijkingstechnieken en versleutelde payloads om detectie door beveiligingssoftware te voorkomen.

De verspreiding vindt plaats via drie specifieke extensies genaamd pro-svelte-extension, vsce-prettier-pro en full-access-catppuccin-pro-extension. Onderzoek heeft uitgewezen dat deze extensies verbonden zijn via een gedeelde infrastructuur en identieke encryptiesleutels. In tegenstelling tot eerdere versies die gebruikmaakten van onzichtbare Unicode-tekens of Rust-binaries, vertrouwt de nieuwste iteratie op JavaScript-payloads die met AES-256-CBC zijn versleuteld. Deze payloads zijn specifiek ontworpen voor de macOS-architectuur en maken gebruik van AppleScript voor uitvoering en LaunchAgents voor persistentie op het systeem.

Een opvallend kenmerk van deze malware is het mechanisme om zandbakomgevingen te misleiden. Na installatie wacht de extensie exact vijftien minuten voordat de kwaadaardige code wordt geactiveerd. Omdat de meeste geautomatiseerde beveiligingsscanners een time-out hebben van vijf minuten, wordt de extensie tijdens de eerste analyse als legitiem geclassificeerd. Zodra de vertragingstijd is verstreken, wordt de versleutelde payload gedecodeerd en uitgevoerd met behulp van de ingebouwde cryptografische functies van de extensie.

De aansturing van de malware verloopt via de Solana-blockchain, wat het voor autoriteiten uiterst moeilijk maakt om de infrastructuur offline te halen. De aanvaller publiceert base64-gecodeerde URL's in transactiememo's op de blockchain, waardoor de geïnfecteerde systemen gedecentraliseerde instructies kunnen ontvangen zonder afhankelijk te zijn van traditionele domeinnamen die geblokkeerd kunnen worden. Onderzoekers hebben de infrastructuur herleid naar het IP-adres 45.32.151.157, dat consistent is met eerdere golven van GlassWorm-activiteit.

De functionaliteit van de malware omvat het stelen van gevoelige informatie en het compromitteren van hardware-wallets. De code is in staat om directe toegang te verkrijgen tot de macOS Keychain-database om opgeslagen wachtwoorden en inloggegevens te ontvreemden. Daarnaast bevat de infrastructuur voorbereidingen om applicaties zoals Ledger Live en Trezor Suite te vervangen door getrojaniseerde versies. Gestolen gegevens worden tijdelijk opgeslagen in de directory /tmp/ijewf/, gecomprimeerd en vervolgens geëxfiltreerd naar een externe server op het adres 45.32.150.251/p2p.

Bron 1

Het Belgium Anti-Phishing Shield (BAPS), een technische beveiligingsmaatregel op basis van het Domain Name System, heeft in het afgelopen jaar 200 miljoen keer ingegrepen bij het surfgedrag van Belgische internetgebruikers. Uit cijfers die vandaag door de Belgische overheid zijn gepubliceerd, blijkt dat providers burgers even zo vaak hebben doorgestuurd naar een waarschuwingspagina. Dit mechanisme wordt geactiveerd wanneer een gebruiker een domein probeert te bezoeken dat voorkomt op een centrale lijst met malafide websites.

De technische infrastructuur van het filter leunt op de samenwerking tussen de overheid en internetproviders. De verantwoordelijke instantie voor cybersecurity in België analyseert dreigingen en distribueert een lijst met onveilige URL's naar de providers. Wanneer een DNS-verzoek van een abonnee overeenkomt met een item op deze lijst, wordt de verbinding met de oorspronkelijke server onderbroken en verschijnt er een waarschuwing. De data voor dit filter is voor een aanzienlijk deel afkomstig van meldingen uit de samenleving. In het afgelopen jaar werden bijna tien miljoen verdachte berichten door burgers doorgestuurd naar de bevoegde dienst, waarna deze informatie werd gebruikt voor de verrijking van de blocklist.

Parallel aan de Belgische resultaten wordt in Nederland de effectiviteit van een soortgelijke technologie onderzocht. Onder de noemer Anti-Phishing Shield (APS) is eind juli vorig jaar een pilot gestart. In deze testfase werken een grote telecomprovider en het Nationaal Cyber Security Centrum (NCSC) samen om te bezien of een dns-gebaseerd filter op nationale schaal haalbaar is. In tegenstelling tot de bredere uitrol in België, betreft het Nederlandse experiment vooralsnog een specifieke klantengroep die zich via een opt-in constructie vrijwillig heeft aangemeld voor de beveiligingsdienst.

De Nederlandse pilot heeft een looptijd van zes maanden en dient als basis voor politieke besluitvorming. Demissionair minister Van Oosten van Justitie en Veiligheid heeft aangegeven dat de resultaten zullen worden geëvalueerd om te bepalen of een structurele en landelijke implementatie wenselijk is. Bij deze evaluatie wordt tevens gekeken naar de mogelijkheid om in de toekomst meerdere partijen uit de telecomsector bij het initiatief te betrekken. De focus van het onderzoek ligt op de technische effectiviteit van de blokkades en de impact op de eindgebruiker.

Bron 1

Binnen de Cardano-gemeenschap is een geavanceerde phishingcampagne actief die zich richt op gebruikers van de Eternl-wallet. De aanval maakt gebruik van professioneel opgestelde e-mails waarin de lancering van een officiële Eternl Desktop-applicatie wordt aangekondigd. In deze berichten worden ontvangers verleid met beloften over veilige staking-mogelijkheden en deelname aan governance. Om de geloofwaardigheid te vergroten, verwijzen de aanvallers naar ecosysteem-gebonden prikkels, zoals NIGHT- en ATMA-tokenbeloningen via het Diffusion Staking Basket-programma.

De frauduleuze e-mails zijn nagenoeg identieke replica's van legitieme communicatie en bevatten gedetailleerde informatie over hardware wallet-compatibiliteit, lokaal sleutelbeheer en geavanceerde delegatie-instellingen. Door het hanteren van een zakelijke toon en het ontbreken van taalfouten straalt de campagne autoriteit uit. Gebruikers worden naar een recent geregistreerd domein geleid, download.eternldesktop.network, waar een kwaadaardig installatiepakket wordt aangeboden dat niet is voorzien van officiële digitale handtekeningen.

Technisch onderzoek heeft uitgewezen dat het aangeboden MSI-bestand, met een omvang van 23,3 megabyte en hashwaarde 8fa4844e40669c1cb417d7cf923bf3e0, een verborgen remote management tool bevat. Na installatie plaatst de software een uitvoerbaar bestand genaamd unattended-updater.exe op het systeem, wat de legitieme tool GoTo Resolve Unattended Updater blijkt te zijn. Tijdens de uitvoering creëert dit bestand een specifieke mappenstructuur in de Program Files-directory en genereert het diverse configuratiebestanden, waaronder unattended.json.

Deze configuratie maakt het mogelijk om op afstand toegang te verkrijgen tot het systeem zonder dat de gebruiker hiervan op de hoogte is. Uit netwerkanalyses blijkt dat de malware verbinding maakt met infrastructuren van legitieme GoTo Resolve-diensten. Hierbij wordt systeeminformatie in JSON-formaat verzonden naar externe servers via hardgecodeerde API-referenties. Op deze wijze wordt een communicatiekanaal opgezet voor het uitvoeren van opdrachten op afstand en het monitoren van het geïnfecteerde systeem.

Beveiligingsonderzoekers classificeren deze campagne als een vorm van supply-chain misbruik. Door remote management tools te bundelen met vermeende wallet-software, verkrijgen actoren langdurige toegang tot systemen, wat kan leiden tot het oogsten van inloggegevens en diefstal van cryptovaluta. De campagne illustreert hoe actuele thema's binnen de cryptogemeenschap worden misbruikt om schadelijke software te verspreiden.

Bron 1

Op 2 januari 2026 is een grootschalige aanval vastgesteld die honderden digitale portefeuilles treft verspreid over diverse EVM-compatibele blockchains. On-chain data wijzen uit dat er systematisch fondsen worden onttrokken in kleine bedragen, waarbij de buit per wallet doorgaans onder de 2.000 dollar blijft. De totale gedocumenteerde schade is inmiddels opgelopen tot boven de 107.000 dollar en neemt nog steeds toe.

De onderliggende oorzaak van deze diefstallen is op dit moment nog onbekend. Er is nog geen uitsluitsel of het gaat om een lek in een specifiek protocol, een kwaadaardige interactie met een smart contract of een andere vorm van exploit. De onttrekkingen zijn direct gekoppeld aan het verdachte adres 0xAc2e5153170278e24667a580baEa056ad8Bf9bFB, waar de gestolen activa van de verschillende ketens worden verzameld.

Omdat de aanval meerdere ketens binnen het EVM-ecosysteem treft, is de reikwijdte aanzienlijk. Experts monitoren de bewegingen op de blockchain om de exacte methode van de aanvallers te achterhalen. Gebruikers wordt geadviseerd hun wallet-activiteit nauwgezet te controleren, aangezien de aanval op dit moment nog voortduurt en de technische kwetsbaarheid nog niet is geïdentificeerd.

Op 1 januari 2026 is op een dark web-forum een advertentie geplaatst waarin toegang wordt aangeboden tot een intern administratief paneel van de cryptocurrency-exchange Kraken. De aanbieder beweert over 'read-only' toegang te beschikken, wat zou betekenen dat gegevens kunnen worden ingezien zonder deze direct te kunnen wijzigen. Volgens de advertentie omvat deze toegang de mogelijkheid om gebruikersprofielen en de volledige transactiehistorie te bekijken. Ook wordt geclaimd dat volledige Know Your Customer (KYC) documentatie, zoals identiteitsbewijzen, selfies en bewijzen van adres, via dit paneel inzichtelijk zijn.

Een specifiek risico dat in de advertentie wordt genoemd, is de mogelijkheid om supporttickets te genereren. Hoewel de toegang beperkt zou zijn tot lezen, kan het aanmaken van tickets worden misbruikt voor social engineering en phishing-aanvallen. De verkoper stelt dat de toegang niet gebonden is aan IP-restricties en dat de beveiliging via Time-based One-Time Password (TOTP) pas in februari 2026 zou verlopen. De startprijs voor deze toegang is opvallend laag en begint bij één dollar, waarbij de uiteindelijke prijs onderhandelbaar zou zijn.

Beveiligingsexperts en analisten uiten aanzienlijke twijfel over de authenticiteit van het aanbod. De extreem lage prijs en bepaalde technische inconsistenties in de beschrijving van de TOTP-beveiliging wijzen volgens critici mogelijk op een poging tot oplichting op het forum zelf. Er is tot op heden geen officiële bevestiging van de exchange dat er daadwerkelijk systemen zijn gecompromitteerd. Desondanks wordt gebruikers geadviseerd alert te zijn op ongebruikelijke communicatie vanuit supportkanalen, aangezien dergelijke claims – zelfs indien onbevestigd – vaak de voorbode zijn van gerichte phishing-campagnes.

Beveiligingsexperts maken melding van een zorgwekkende ontwikkeling rondom het Kimwolf-botnet, dat in korte tijd is uitgegroeid tot een netwerk van meer dan twee miljoen geïnfecteerde apparaten. Het botnet onderscheidt zich door een geavanceerde aanvalsmethode die de traditionele beveiliging van lokale netwerken effectief omzeilt. Waar firewalls en routers normaal gesproken bescherming bieden tegen invloeden van buitenaf, slaagt deze malware erin om via residentiële proxy-netwerken direct toegang te verkrijgen tot apparaten binnen het interne netwerk.

Het onderzoek naar deze dreiging wijst uit dat het merendeel van de infecties zich concentreert op goedkope, veelal merkloze Android TV-boxen en digitale fotolijsten. Deze apparatuur wordt wereldwijd veelvuldig verkocht via grote e-commerceplatformen en beschikt zelden over adequate beveiligingsmaatregelen of authenticatieprocedures. Consumenten schaffen deze apparaten vaak aan voor het streamen van video's of het weergeven van digitale foto's, zonder zich bewust te zijn van de risico's. De malware is in sommige gevallen vooraf geïnstalleerd in de fabriek of wordt binnengehaald via onofficiële app-winkels die nodig zijn om de apparatuur te gebruiken.

De technische werkwijze van Kimwolf is specifiek gericht op het exploiteren van de vertrouwensrelatie binnen een lokaal netwerk. De beheerders van het botnet hebben een manier gevonden om via gecompromitteerde proxy-verbindingen rechtstreeks te communiceren met interne IP-adressen, zoals vastgelegd in de RFC-1918 standaard. Door het manipuleren van DNS-instellingen kunnen aanvallers verkeer tunnelen naar lokale adressen die normaal gesproken niet vanaf het internet bereikbaar zijn. Hierdoor kunnen zij kwaadaardige commando's uitvoeren op apparaten die zich achter de Network Address Translation van de router bevinden.

Een verergerende factor in deze aanvalsketen is de configuratie van de hardware zelf. Onderzoek toont aan dat veel van de getroffen Android-apparaten worden uitgeleverd met de Android Debug Bridge modus standaard ingeschakeld. Deze functie, die bedoeld is voor ontwikkelaars, stelt derden in staat om zonder inloggegevens of wachtwoorden volledige controle over het systeem te verkrijgen. Zodra één apparaat binnen het netwerk is gecompromitteerd, kan dit dienen als springplank om andere kwetsbare systemen op hetzelfde netwerk te infecteren.

De impact van een Kimwolf-infectie is aanzienlijk. De overgenomen apparaten worden door cybercriminelen ingezet voor het uitvoeren van zware DDoS-aanvallen die in staat zijn websites langdurig offline te halen. Daarnaast wordt de bandbreedte van de slachtoffers doorverkocht als onderdeel van proxy-diensten en worden de systemen misbruikt voor advertentiefraude, accountovernames en het massaal verzamelen van data. Hoewel de grootste infectiehaarden zich momenteel in landen als de Verenigde Staten, Rusland, Brazilië en Vietnam bevinden, is de gebruikte apparatuur wereldwijd beschikbaar en vormt de aanvalsmethode een universeel risico voor netwerkbeveiliging.

Bron 1

De start van 2026 kenmerkt zich door een opvallende verschuiving in de presentatie van digitale dreigingen. Cybercriminele organisaties stappen af van traditionele, intimiderende branding en adopteren in plaats daarvan een zakelijke identiteit die nauwelijks afwijkt van reguliere softwareleveranciers. Een recent geïdentificeerde groep die opereert onder de naam 'Impact Solutions' illustreert deze trend door illegale malware-tools aan te bieden via een marketingstrategie die gericht is op efficiëntie en gebruiksvriendelijkheid.

Het centrale product dat door deze groep wordt gepromoot, is 'InternalWhisper'. Dit is een zogeheten crypter, een technisch hulpmiddel dat is ontworpen om de code van schadelijke software te versluieren. Volgens de specificaties van de aanbieders maakt het instrument gebruik van een metamorfe engine die wordt aangestuurd door kunstmatige intelligentie. Hiermee zou de malware bij elke uitvoering de eigen code herschrijven, met als doel detectie door Windows Defender en andere gangbare endpoint-beveiligingsoplossingen te omzeilen. De tool biedt ondersteuning voor diverse systeemarchitecturen en beschikt over functies voor sandbox-evasie en persistentie op geïnfecteerde systemen.

De methodiek van deze groep wijkt af van de gangbare praktijk op het dark web door de nadruk te leggen op een gestroomlijnd distributieproces. In plaats van handmatige transacties wordt gebruikgemaakt van geautomatiseerde webpanels, verschillende abonnementsvormen en een klantgerichte presentatie. De terminologie in de advertenties — waarin termen als 'AI-enhanced' en 'solutions' centraal staan — spiegelt de taal die gebruikelijk is in de legitieme technologiesector. Deze benadering is erop gericht de drempel voor de aanschaf van complexe aanvalsinstrumenten te verlagen.

Technisch gezien blijft de effectiviteit van dergelijke 'AI-gestuurde' instrumenten onderwerp van analyse. Hoewel de crypter is ontworpen om statische detectie op basis van handtekeningen te vermijden, maken moderne beveiligingsinfrastructuren in toenemende mate gebruik van gedragsanalyse om verdachte activiteiten op te sporen. De significante ontwikkeling is echter niet uitsluitend de achterliggende technologie, maar de wijze waarop criminele diensten worden genormaliseerd door middel van bedrijfsmatige marketing. Deze transformatie van cybercrime naar een professioneel ogend servicemodel vormt een nieuwe uitdaging voor de herkenning van dreigingen.

Bron 1

Op een forum voor cybercriminaliteit is een advertentie waargenomen waarin een dreigingsactor, opererend onder de naam bigbandz, de verkoop aankondigt van 1.197 zakelijke fleetcards. De aanbieder stelt dat de dataset niet beperkt blijft tot de huidige lijst, maar ook de toegang tot de bron omvat. Hierdoor zouden er dagelijks naar schatting veertig nieuwe kaarten aan het bestand worden toegevoegd. De aangeboden betaalkaarten hebben volgens de specificaties allemaal het identificatienummer (IIN) 555115, wat relevant kan zijn voor organisaties om te controleren in hun transactielogs.

De herkomst van de kaarten is door de verkoper niet nader gespecificeerd, waardoor de getroffen industrie of geografische regio onbekend blijft. Omdat er geen proefbestanden (samples) zijn vrijgegeven, kan de authenticiteit van de claim niet door derden worden geverifieerd. De verkoopstructuur betreft een veiling waarbij het startbod is vastgesteld op 300 dollar. Geïnteresseerde kopers kunnen het bod verhogen met stappen van 100 dollar of kiezen voor een directe aankoopoptie (blitz) van 500 dollar. De advertentie bevat verder vijandige bewoordingen richting analisten die dreigingsinformatie verzamelen.

Op het dark web is een nieuwe tool verschenen die wordt aangeboden onder de naam Arcana. Het betreft een zogenaamde premium crypter, een instrument dat door actoren wordt gebruikt om de detectie van malware door beveiligingssoftware te voorkomen. De tool wordt gepositioneerd binnen het Malware-as-a-Service model, waarbij de ontwikkelaar, opererend onder het pseudoniem ArcanaSeller, de software tegen betaling beschikbaar stelt aan derden. Het aanbieden van dergelijke gespecialiseerde diensten stelt minder technisch onderlegde actoren in staat om geavanceerde ontwijkingstechnieken toe te passen bij het verspreiden van schadelijke bestanden.

De technische specificaties van Arcana duiden op een focus op het omzeilen van gangbare verdedigingsmechanismen binnen Windows-omgevingen. De aanbieder claimt dat de crypter in staat is om Windows Defender en SmartScreen-beveiligingen te passeren. Een cruciaal onderdeel van de functionaliteit is de ondersteuning voor DLL-sideloading. Bij deze techniek wordt misbruik gemaakt van de manier waarop Windows-applicaties dynamische link-bibliotheken laden, waardoor kwaadaardige code uitgevoerd kan worden onder de vlag van een legitiem proces. De software biedt ondersteuning voor zowel .NET- als native payloads en is geschikt voor x86- en x64-systemen.

Om statische detectie op basis van handtekeningen tegen te gaan, maakt Arcana gebruik van een polymorfe en adaptieve engine. Volgens de advertentie resulteert dit in een zeer lage detectiegraad waarbij slechts nul tot twee van de zesendertig geteste antivirusoplossingen een melding geven. De ontwikkelaars stellen dat de software dagelijks meerdere malen wordt bijgewerkt om effectief te blijven tegenover nieuwe updates van beveiligingsleveranciers. Voor de distributie en ondersteuning wordt gebruikgemaakt van een dedicated team en geautomatiseerde systemen via het Telegram-platform.

De toegang tot de crypter is georganiseerd via verschillende prijsniveaus. Gebruikers kunnen kiezen voor een eenmalige testversleuteling voor dertig dollar of voor wekelijkse abonnementen. Het basispakket kost negenennegentig dollar voor drie versleutelingen, terwijl een uitgebreider pakket voor honderdnegenentachtig dollar zes versleutelingen toestaat. Hoewel er nog geen onafhankelijke monsters (samples) van de door Arcana versleutelde bestanden beschikbaar zijn voor publieke analyse, wijst de opzet van de dienst op een structurele poging om de effectiviteit van endpoint-beveiliging op grote schaal te ondermijnen.

Een cybercrimineel claimt 139 gigabyte aan gevoelige engineeringdata te hebben ontvreemd en biedt deze op het dark web te koop aan. De gegevens zijn naar verluidt buitgemaakt via een inbreuk op de systemen van Pickett and Associates, een Amerikaans ingenieursbureau dat gespecialiseerd is in de beveiliging en het ontwerp van elektriciteitsnetwerken en transmissielijnen. De gestolen informatie heeft betrekking op de operationele infrastructuur van grote nutsbedrijven, waaronder Duke Energy Florida, Tampa Electric Company en American Electric Power.

De aangeboden dataset bestaat uit 892 bestanden die zeer specifieke technische informatie bevatten. Het gaat onder meer om ruim achthonderd ruwe LiDAR-puntenwolken, hoge-resolutie orthofoto's, MicroStation-ontwerpbestanden en uitgebreide datasets met vegetatiekenmerken. Deze gegevens worden door de aanbieder gepresenteerd als actuele operationele data die geschikt is voor infrastructurele risicobeoordelingen. Voor de volledige dataset wordt een niet-onderhandelbare prijs gevraagd van 6,5 bitcoin, wat op dit moment een waarde van ongeveer 585.000 dollar vertegenwoordigt.

De betrokken nutsbedrijven bedienen gezamenlijk miljoenen klanten in de Verenigde Staten. Terwijl Duke Energy een officieel onderzoek naar de claims heeft ingesteld, wijst de activiteit van de betreffende actor ook op een bredere reikwijdte. Naast de Amerikaanse gegevens claimt de aanbieder namelijk ook de beschikking te hebben over een interne database van Enerparc AG, met informatie over zonne-energieprojecten in de Europese regio's Mallorca en Alicante.

De aard van de data, die voornamelijk bestaat uit gedetailleerde technische tekeningen en omgevingsscans van kritieke faciliteiten, brengt mogelijke veiligheidsrisico's met zich mee voor de betreffende netbeheerders. Het incident illustreert de risico's binnen de ketenbeveiliging, waarbij gevoelige informatie van grote nutsbedrijven kwetsbaar kan zijn via de systemen van externe technische dienstverleners.

Bron 1

Beveiligingsonderzoekers hebben technische details vrijgegeven over een nieuwe variant van informatie-stelende software, genaamd VVS Stealer. Deze op Python gebaseerde malware richt zich specifiek op het exfiltreren van gegevens uit de communicatieapplicatie Discord en diverse webbrowsers. De software wordt sinds april 2025 verhandeld via het platform Telegram en wordt toegeschreven aan een Franstalige dreigingsactor die eveneens in verband wordt gebracht met andere malwarefamilies.

De ontwikkelaars van VVS Stealer maken gebruik van geavanceerde technieken om detectie door beveiligingssoftware te voorkomen. De broncode wordt versleuteld met Pyarmor, een tool die statische analyse bemoeilijkt en detectie op basis van digitale handtekeningen tracht te omzeilen. De verspreiding vindt plaats via een PyInstaller-pakket. Na de initiële uitvoering nestelt de malware zich in de opstartmap van het Windows-besturingssysteem, waardoor persistentie wordt gegarandeerd en de schadelijke code automatisch wordt geladen bij elke herstart van het systeem.

Tijdens de infectieprocedure toont de malware valse foutmeldingen aan de gebruiker, waarin wordt gesuggereerd dat een herstart noodzakelijk is. Op de achtergrond verzamelt de software ondertussen een breed scala aan gevoelige informatie. De buitgemaakte data omvat inlogtokens en accountinformatie van Discord, maar ook gegevens uit browsers die gebaseerd zijn op Chromium en Firefox. Het betreft hier onder meer cookies, browsegeschiedenis, opgeslagen wachtwoorden en gegevens voor automatisch invullen. Tevens is de malware in staat om schermafbeeldingen van de besmette omgeving te maken.

Een specifiek technisch kenmerk van deze malware is de methode voor het overnemen van sessies via injectie. De software beëindigt eerst het actieve Discord-proces, waarna een verhuld JavaScript-bestand van een externe server wordt gedownload. Dit script maakt gebruik van het Chrome DevTools Protocol om het netwerkverkeer te monitoren en actieve sessies te kapen. De lage aanschafprijs van de malware, die varieert van een tiental euro voor een weeklicentie tot circa tweehonderd euro voor een levenslange licentie, maakt de tool toegankelijk voor een breed publiek van cybercriminelen.

De distributie van VVS Stealer verloopt onder meer via infrastructuren van legitieme organisaties. Aanvallers maken gebruik van eerder gestolen beheerdersgegevens om toegang te krijgen tot zakelijke netwerken, die vervolgens worden ingezet om de malware te hosten en te verspreiden via misleidende campagnes. Doordat de kwaadaardige software afkomstig lijkt van betrouwbare domeinen, wordt de detectie voor eindgebruikers en beveiligingssystemen aanzienlijk bemoeilijkt.

Bron 1

Een dreigingsactor die opereert onder het pseudoniem 1011 claimt toegang te hebben verkregen tot de ontwikkelingsinfrastructuur van VPN-provider NordVPN. Op een forum op het dark web zijn berichten verschenen waarin de actor beweert gevoelige informatie te hebben buitgemaakt, waaronder broncodes van databases en diverse inloggegevens. De gelekte data zouden afkomstig zijn van een onjuist geconfigureerde ontwikkelserver die in Panama wordt gehost. De claim werd op 4 januari 2026 publiekelijk gedeeld via ondergrondse fora, waarbij bewijsmateriaal werd getoond om de toegang te staven.

De omvang van de vermeende datadiefstal omvat broncodes van meer dan tien databases die deel uitmaken van de kernsystemen van NordVPN. Daarnaast bevat de gelekte informatie Salesforce API-sleutels en Jira-tokens. Deze gegevens bieden in potentie directe toegang tot interne zakelijke applicaties die worden gebruikt voor klantrelatiebeheer en projectmanagement. Om de authenticiteit van de hack aan te tonen, heeft de dreigingsactor SQL-dumpbestanden gepubliceerd. Deze bestanden tonen de structuur van backend-tabellen, waaronder configuraties voor API-sleutels en details over Salesforce-koppelingen.

Uit de analyse van het incident blijkt dat de toegang waarschijnlijk is verkregen via brute-force aanvallen op inloggegevens van de bewuste server in Panama. Dergelijke methoden zijn effectief wanneer systemen geen adequate beperkingen hanteren op het aantal inlogpogingen of wanneer strikte toegangscontroles ontbreken. Beveiligingsonderzoekers wijzen erop dat ontwikkelomgevingen vaker een doelwit vormen omdat de beveiligingsinstellingen daar doorgaans minder streng zijn dan in productieomgevingen.

De blootstelling van broncode brengt specifieke risico's met zich mee, aangezien aanvallers hiermee inzicht krijgen in de architectuur van de systemen die de privacy van miljoenen gebruikers moeten waarborgen. Met de publieke verspreiding van API-sleutels en tokens bestaat bovendien het risico op laterale bewegingen binnen het netwerk en de manipulatie van interne systemen. Er wordt geadviseerd om een volledige audit van de infrastructuur uit te voeren, alle gecompromitteerde inloggegevens te vervangen en de authenticatieprotocollen aan te scherpen met meervoudige verificatie.

Screenshot

De fabrikant van hardware-wallets Ledger is geconfronteerd met een beveiligingsincident waarbij persoonlijke gegevens van klanten zijn gelekt via de externe betalingsverwerker Global-e. Door een inbreuk in de systemen van deze partner zijn klantgegevens in handen van onbevoegden gekomen. Dit incident heeft specifiek betrekking op de e-commerce-informatie die wordt verwerkt tijdens het aankoopproces van de hardware-apparaten op de officiële website van de fabrikant.

Bij dit datalek zijn namen en contactgegevens van klanten gecompromitteerd. De blootgestelde informatie stelt derden in staat om vast te stellen welke personen producten hebben aangeschaft voor het opslaan van cryptovaluta. Uit onderzoek is gebleken dat de inbreuk beperkt is gebleven tot de cloud-infrastructuur van de betalingsverwerker en dat de interne systemen van Ledger, de hardware-wallets zelf en de daarop aanwezige digitale activa niet door dit lek zijn geraakt. Het bedrijf heeft onafhankelijke forensische experts ingeschakeld om de volledige omvang van de ongeautoriseerde toegang vast te stellen.

De blootstelling van deze persoonsgegevens brengt concrete veiligheidsrisico's met zich mee voor de betrokken gebruikers. De informatie kan door kwaadwillenden worden gebruikt voor het opzetten van gerichte phishing-campagnes via e-mail of sms. Gebruikers moeten rekening houden met een verhoogde kans op frauduleuze communicatie die specifiek is afgestemd op hun klantrelatie met de fabrikant. Het doel van dergelijke campagnes is doorgaans het ontfutselen van gevoelige informatie, zoals de herstelzin van de wallet.

Dit incident benadrukt de aanhoudende kwetsbaarheid van klantdata binnen de keten van externe dienstverleners in de cryptosector. Hoewel de technische integriteit van de hardware-apparatuur gewaarborgd blijft, zorgt het lekken van identiteitsgegevens voor een blijvende uitdaging voor de privacy en digitale veiligheid van de getroffenen. Er zijn momenteel geen aanwijzingen dat betaalgegevens zoals creditcardinformatie onderdeel zijn van de buitgemaakte dataset.

Bron 1

Blockchain-beveiligingsbedrijf SlowMist heeft een geraffineerde phishingmethode geïdentificeerd die specifiek gericht is op gebruikers van de MetaMask-wallet. De aanval maakt gebruik van vervalste domeinen die de visuele stijl van legitieme beveiligingspagina's nauwgezet kopiëren. Het primaire doel van deze frauduleuze operatie is het ontfutselen van de herstelzin van gebruikers. Met deze gegevens kunnen aanvallers de volledige controle over een digitale wallet overnemen en de aanwezige activa vervreemden. De campagne onderscheidt zich door een hoogwaardige afwerking van de nagemaakte interfaces, wat bijdraagt aan de geloofwaardigheid van de oplichting.

De werkwijze van de aanvallers is gebaseerd op het creëren van een kunstmatige tijdsdruk. Gebruikers ontvangen berichten waarin wordt gesteld dat zij hun tweestapsverificatie (2FA) moeten bijwerken. In de communicatie wordt specifiek een deadline van 4 januari 2026 genoemd. Er wordt gewaarschuwd dat bij het uitblijven van actie de toegang tot belangrijke functies van de wallet zal worden beperkt. Wanneer een gebruiker de instructies volgt en de bijgevoegde links opent, wordt deze naar een kwaadaardige website geleid waar onder het voorwendsel van een veiligheidsverificatie om de herstelzin wordt gevraagd.

Volgens beveiligingsspecialisten van SlowMist is er sprake van een duidelijke verschuiving waarbij criminelen minder vertrouwen op technische inbraakmethoden en meer op psychologische manipulatie. Hoewel het aantal phishing-incidenten in de crypto-industrie gedurende 2025 met 83 procent is gedaald, toont deze nieuwe campagne aan dat de methoden voor identiteitsdiefstal steeds geavanceerder worden. De kern van deze specifieke fraude ligt in het misbruiken van de term 2FA-verificatie om toegang te krijgen tot de meest gevoelige informatie van de wallet-eigenaar, een procedure die bij legitieme updates van dergelijke software niet op deze wijze wordt gehanteerd.

Bron 1

Synthient Research heeft nieuwe bevindingen gepubliceerd over de werking en de infectieketen van het Kimwolf DDoS- en proxy-botnet. Uit het onderzoek blijkt dat dit botnet sinds begin augustus 2025 zeer actief is en in de afgelopen vier maanden een substantiële groei heeft doorgemaakt. Het onderzoeksteam stelt vast dat het totaal aantal geïnfecteerde apparaten inmiddels de grens van twee miljoen is gepasseerd. De aanvalscampagne richt zich primair op Android-apparaten die een openstaande Android Debug Bridge (ADB) service draaien via residentiële proxy-netwerken.

De analyse onthult een uitgestrekt netwerk van gecompromitteerde streaming-apparaten en televisieboxen die door kwaadwillenden worden ingezet om grote groepen IP-adressen te verkrijgen. Kimwolf, een specifieke Android-variant van het Aisuru DDoS-botnet, vormt een aanzienlijke dreiging voor de stabiliteit van netwerkinfrastructuren. Het botnet wordt ingezet voor het lanceren van Distributed Denial-of-Service (DDoS) aanvallen, waarbij piekwaarden zijn gerapporteerd van 29,7 Tbps. De actoren achter Kimwolf genereren inkomsten door de verkoop van bandbreedte via residentiële proxy's, het installeren van ongewenste applicaties en het aanbieden van DDoS-capaciteit aan derden.

De snelle expansie van Kimwolf wordt toegeschreven aan de exploitatie van kwetsbare apparaten binnen het ecosysteem van residentiële proxy's. Onderzoekers namen in november 2025 een toename waar in het verkeer richting domeinen die resolveren naar lokale IP-adressen op apparaten waarop specifieke proxy-software is geïnstalleerd. Dit mechanisme stelt de aanvallers in staat om op afstand commando's uit te voeren op apparaten die deel uitmaken van het proxy-netwerk. Onderschepte payloads bevestigen dat er actief gebruik wordt gemaakt van scripts om binaire bestanden en APK-pakketten te downloaden en te installeren, waarbij vaak geprobeerd wordt om root-toegang te verkrijgen.

In de maand december 2025 zijn verschillende variaties van de infectiescripts waargenomen. De aanvallers passen de gebruikte Command & Control (C2) servers en protocollen voortdurend aan om detectie te omzeilen. De malware nestelt zich in het systeem onder diverse namen en probeert legitieme diensten na te bootsen. Na de succesvolle infectie van een apparaat worden sporen in tijdelijke mappen gewist en wordt de configuratie van de ADB-poort gewijzigd om de controle over het apparaat te behouden.

Gezien de werkwijze van het Kimwolf-botnet ligt de nadruk bij mitigatie op het beperken van de toegang tot lokale netwerken en het blokkeren van risicovolle poorten door proxy-providers. Voor individuele gebruikers van Android TV-boxen die geïnfecteerd zijn geraakt, is het advies om de apparatuur volledig te wissen of te vervangen, aangezien de malware diep in het systeem kan doordringen. Organisaties wordt geadviseerd om netwerkverkeer nauwlettend te monitoren op verbindingen met de geïdentificeerde kwaadaardige infrastructuur. Het onderzoek wijst uit dat de interesse van dreigingsactoren in het misbruiken van onbeveiligde proxy-netwerken voor het verkrijgen van toegang tot apparaten en gevoelige informatie blijft toenemen.

Bron 1

Onderzoek naar kwaadaardige infrastructuur heeft uitgewezen dat een dreigingsactor actief misbruik maakt van ongepatchte FortiWeb-appliances om toegang te verkrijgen tot bedrijfsnetwerken. De aanvallers richten zich op edge-systemen om het Sliver Command and Control framework te implementeren, wat hen in staat stelt om persistente toegang tot de netwerkomgeving te behouden. Deze methode stelt de actor in staat om traditionele beveiligingsmechanismen te omzeilen door direct op de vertrouwde netwerkapparatuur te opereren.

De exploitatie richt zich specifiek op FortiWeb-apparaten die draaien op verouderde firmware, met name de versies 5.4.202 tot en met 6.1.62. Hoewel de exacte kwetsbaarheid die voor de initiële toegang tot deze FortiWeb-systemen wordt gebruikt niet formeel is bevestigd, is waargenomen dat dezelfde actor in gelijktijdige operaties gebruikmaakt van React2Shell (CVE-2025-55182). Na de succesvolle inbraak wordt de Fast Reverse Proxy tool ingezet om interne diensten direct te verbinden met de externe infrastructuur van de aanvallers, waardoor een functionele brug ontstaat tussen het slachtoffernetwerk en de aanvalscomputer.

Analyse van de Command and Control-strategie toont aan dat de dreigingsactor gebruikmaakt van lokaas-domeinen die zijn ontworpen om legitieme diensten na te bootsen. Voorbeelden hiervan zijn domeinen die lijken op Ubuntu-pakketrepositories en wervingspagina's van militaire instanties. Door middel van specifieke Sliver-configuraties wordt gepoogd de aanwezigheid op het systeem te maskeren. De kwaadaardige payload wordt doorgaans opgeslagen op de locatie /bin/.root/system-updater, waarbij het proces zich voordet als een legitiem hulpprogramma voor systeemupdates om ontdekking door beheerders te voorkomen.

De malware is zo geconfigureerd dat deze elke 120 seconden verbinding maakt met de centrale server van de aanvallers. De technische analyse van de aangetroffen logs bevestigt dat de meerderheid van de getroffen hosts werkte met verouderde firmware, wat de cruciale rol van tijdig patchbeheer onderstreept. Door de implantatie van de Sliver-software op de firewall krijgt de actor de mogelijkheid om netwerkverkeer te monitoren en commando's met hoge privileges uit te voeren binnen het netwerk van de organisatie.

Bron 1

Een nieuwe social engineering-campagne, door beveiligingsonderzoekers aangeduid als ClickFix, richt zich momenteel op de horecasector in Europa. Bij deze aanvallen worden medewerkers misleid door middel van vervalste Windows Blue Screen of Death (BSOD) schermen om handmatig malware te compileren en uit te voeren op hun systemen. Het onderzoek naar deze campagne, die de naam PHALT#BLYX draagt, wijst uit dat de aanvalsketen begint met phishing-e-mails waarbij de identiteit van Booking.com wordt misbruikt.

De aanvallers versturen berichten naar hotels en andere horecabedrijven waarin zij zich voordoen als een gast die een reservering annuleert. Om de ontvanger tot snelle actie te dwingen, wordt er gerept over een aanzienlijk restitutiebedrag. De link in de e-mail leidt naar een website die een getrouwe kopie is van het officiële Booking.com-portaal, inclusief de juiste kleuren, logo's en lettertypen. Op deze site wordt een foutmelding getoond die beweert dat het laden te lang duurt, waarna de gebruiker wordt aangespoord om op een knop te klikken.

Zodra er op de knop wordt geklikt, opent de browser een volledig scherm met een nagemaakt Windows-crashscherm. Dit valse BSOD-scherm bevat instructies die de gebruiker opdragen het Windows-dialoogvenster Uitvoeren te openen en een commando te plakken dat automatisch naar het klembord is gekopieerd. Omdat echte crashschermen dergelijke instructies nooit bevatten, is dit een cruciaal onderdeel van de social engineering-methode. Wanneer de gebruiker de instructies opvolgt, wordt een PowerShell-commando uitgevoerd dat op de achtergrond een kwaadaardig .NET-project downloadt.

De malware wordt vervolgens lokaal gecompileerd met de legitieme Windows MSBuild.exe compiler om detectie te omzeilen. De uiteindelijke payload is de DCRAT-trojan, een Remote Access Trojan die controle over het besmette apparaat mogelijk maakt. De software nestelt zich in het systeemgeheugen via process hollowing in het legitieme aspnet_compiler.exe-proces en omzeilt beveiligingsmaatregelen zoals Windows Defender. Naast het verzamelen van systeemgegevens en het vastleggen van toetsaanslagen, kan de malware worden gebruikt om extra schadelijke software, zoals cryptominers, te installeren en binnen het bedrijfsnetwerk verder te infiltreren.

Bron 1

Een dreigingsactor die actief is onder de naam Zestix biedt momenteel grote hoeveelheden bedrijfsgegevens te koop aan die zijn ontvreemd uit zakelijke cloudomgevingen. De gestolen data zijn afkomstig van organisaties die gebruikmaken van platforms zoals ShareFile, Nextcloud en OwnCloud. Uit analyse van cyberbeveiligingsbedrijf Hudson Rock blijkt dat de toegang tot deze systemen is verkregen door misbruik te maken van inloggegevens die zijn buitgemaakt via infostealer-malware.

De aanvallers maken gebruik van gegevens die zijn verzameld door bekende malwarefamilies zoals RedLine, Lumma en Vidar. Deze kwaadaardige software wordt doorgaans verspreid via malvertising-campagnes en ClickFix-aanvallen, waarna het inloggegevens uit webbrowsers en andere applicaties op de apparaten van medewerkers extraheert. Zestix fungeert hierbij als een Initial Access Broker die specifiek zoekt naar URL's van zakelijke cloudomgevingen in de logs van deze infostealers. De inbreuk wordt gefaciliteerd doordat multifactorauthenticatie (MFA) op de getroffen accounts ontbreekt en sessies langdurig actief blijven zonder validatie. Sommige van de misbruikte inloggegevens circuleren volgens de onderzoekers al jaren in criminele databases.

De aangeboden datasets variëren in omvang van tientallen gigabytes tot meerdere terabytes. De inhoud omvat gevoelige documenten uit uiteenlopende sectoren, waaronder de luchtvaart, defensie, gezondheidszorg, telecommunicatie en de overheid. Concreet claimt de verkoper te beschikken over onder meer onderhoudshandleidingen voor vliegtuigen, broncodes van ERP-systemen, netwerkconfiguraties van internetproviders en overheidscontracten.

Hudson Rock heeft bij zeker vijftien specifieke gevallen kunnen verifiëren dat de inloggegevens via infostealers zijn verkregen. Daarnaast zijn er indicaties van nog dertig andere slachtoffers die onder de alias Sentap worden verhandeld. Het onderzoek identificeerde tevens geïnfecteerde computersystemen bij grote multinationals, waaronder Deloitte, KPMG, Samsung, Honeywell en Walmart, wat wijst op een breder risico voor deze organisaties. De onderzoekers hebben ShareFile inmiddels op de hoogte gesteld en zullen ook Nextcloud en OwnCloud informeren over de geconstateerde blootstellingen.

Bron 1

Active Directory vormt binnen het merendeel van de organisaties de basis voor het beheer van gebruikersidentiteiten. Hoewel de doelwitten van cyberaanvallen gelijk blijven, is de snelheid en effectiviteit van deze operaties door de inzet van generatieve kunstmatige intelligentie ingrijpend veranderd. AI-gedreven technieken maken het misbruiken van inloggegevens toegankelijker en efficiënter, waarbij de benodigde rekenkracht en technische expertise afnemen.

Moderne kraaksystemen zoals PassGAN maken gebruik van adversarial training om patronen in menselijke wachtwoordcreatie te doorgronden. In tegenstelling tot traditionele brute-force methoden of statische woordenlijsten, leert het systeem hoe mensen wachtwoorden opbouwen en verbetert het de voorspellende gaven per iteratie. Uit onderzoek blijkt dat dergelijke technologie in staat is om 51 procent van de veelvoorkomende wachtwoorden binnen een minuut te kraken. Wanneer modellen specifiek worden getraind op gelekte data van een organisatie of op informatie van publieke bedrijfswebsites, worden de gegenereerde wachtwoordkandidaten nauwkeuriger en relevanter voor de specifieke doelgroep.

De inzet van AI zorgt voor een verschuiving in aanvalstechnieken. Waar traditionele aanvallen gebruikmaakten van handmatige mutaties, herkennen machine learning-modellen subtiele patronen in toetsenbordcombinaties en het gebruik van persoonlijke informatie op grote schaal. Dit stelt aanvallers in staat om gestolen inloggegevens van externe diensten intelligent om te zetten naar variaties die waarschijnlijk binnen een specifieke bedrijfsomgeving worden gebruikt. Een eerder gehanteerd wachtwoord met een jaartal of seizoen kan door de software logischerwijs worden aangepast naar de huidige periode zonder willekeurige combinaties te hoeven testen.

Daarnaast wordt de verkenning van organisaties geautomatiseerd. Taalmodellen analyseren persberichten en profielen op zakelijke netwerken om contextuele informatie te verzamelen voor phishing-campagnes en password spray-aanvallen. Tegelijkertijd is de toegang tot krachtige hardware toegenomen. Door het huren van GPU-capaciteit kunnen aanvallers complexe hashes aanzienlijk sneller kraken dan met voorgaande generaties hardware mogelijk was. De combinatie van gerichte AI-gokken en hoge rekenkracht reduceert de tijd die nodig is om zwakke tot gemiddelde wachtwoorden te compromitteren.

De standaard beveiligingsinstellingen binnen Active Directory zijn vaak niet ontworpen voor dit type dreiging. Gebruikelijke complexiteitseisen leiden vaak tot voorspelbare patronen die juist door AI-modellen makkelijk worden herkend. Ook het periodiek dwingen van gebruikers om hun wachtwoord te wijzigen resulteert vaak in minimale, voorspelbare aanpassingen, wat de effectiviteit van aanvallen met gestolen inloggegevens vergroot. Hoewel multifactorauthenticatie een extra beveiligingslaag biedt, blijft de integriteit van het wachtwoord binnen de identiteitsstructuur een kritieke factor, aangezien aanvallers proberen deze lagen te omzeilen via technieken als sessie-hijacking of sociale manipulatie.

Inloggegevens van ongeveer vijftig multinationals zijn online te koop aangeboden nadat accounts bij diverse cloud- en filesharingdiensten werden gehackt. De aanval richtte zich specifiek op gebruikers van ShareFile, OwnCloud en Nextcloud. De getroffen organisaties zijn actief in diverse sectoren, waaronder de luchtvaart, robotica, de woningsector en de overheid.

Onder de slachtoffers bevinden zich bedrijven zoals Iberia Airlines, Sekisui House, Pickett, IFLUSAC, K3G Solutions, CRRC MA, GreenBills en CiberC. De activiteiten worden toegeschreven aan een dreigingsactor die gebruikmaakt van de aliassen Zestix en Sentap. Uit onderzoek blijkt dat deze actor werkt volgens een model waarbij misbruik wordt gemaakt van kwetsbare infrastructuur en toegangspunten van derden. Er zijn aanwijzingen voor een samenwerking met de cybercriminele groep Funksec, die bekendstaat om het uitvoeren van opportunistische aanvallen op grote schaal.

De aanvalsmethode berustte niet op het exploiteren van onbekende softwarefouten (zerodays). In plaats daarvan werden apparaten van werknemers geïnfecteerd met malware om inloggegevens te ontvreemden. Omdat de betreffende cloudaccounts niet waren beveiligd met multifactorauthenticatie (MFA), kregen de aanvallers direct en ongehinderd toegang tot de opgeslagen bedrijfsgegevens.

Bron 1

WhatsApp is gestart met het implementeren van specifieke aanpassingen in de berichtendienst om device fingerprinting tegen te gaan. Deze maatregelen zijn een reactie op beveiligingsonderzoeken waaruit bleek dat externe partijen via de applicatie technische details over de apparatuur van gebruikers konden achterhalen. Volgens Tal Be'ery, die de wijzigingen analyseerde, bemoeilijkt de update het proces voor kwaadwillenden om informatie te verzamelen over het besturingssysteem en de specifieke configuratie van een beoogd doelwit.

De problematiek vloeit voort uit de architectuur van het end-to-end-encryptieprotocol dat de dienst hanteert. Elk apparaat dat aan een account is gekoppeld, genereert een afzonderlijke sessie met eigen cryptografische sleutels. Onderzoekers van Zengo Wallet demonstreerden begin 2024 dat deze unieke sessie-informatie onbedoeld metadata lekt. In 2025 werd vastgesteld dat het via deze methode mogelijk is om exact te identificeren welk besturingssysteem een gebruiker hanteert, zonder dat het slachtoffer hiervoor enige handeling hoeft te verrichten of een indicatie van de scan ontvangt.

Het kunnen vaststellen van het besturingssysteem vormt een risico omdat aanvallers hiermee gerichte malware kunnen selecteren die specifiek is ontworpen voor het gedetecteerde platform. Dit verhoogt de slagingskans van aanvallen aanzienlijk ten opzichte van generieke campagnes. Hoewel moederbedrijf Meta de kwetsbaarheden nu actief aanpakt, is de informatievergaring nog niet volledig onmogelijk gemaakt. Uit de technische analyse blijkt dat het via de One-Time PK ID nog steeds mogelijk is om onderscheid te maken tussen apparaten die draaien op iOS en Android.

Bron 1

De non-profitorganisatie Objective-See heeft in een uitgebreide analyse van het jaar 2025 vastgesteld dat malware voor het macOS-platform een aanzienlijke technische ontwikkeling heeft doorgemaakt. Het besturingssysteem wordt door aanvallers niet langer als een niche-doelwit beschouwd. De stijgende populariteit van het platform heeft geleid tot een grotere interesse van kwaadwillenden, wat zich vertaalt in een toename van de complexiteit en de schaal van de uitgevoerde aanvallen.

Een van de meest prominente trends in 2025 is de dominantie van infostealers. Waar deze software voorheen voornamelijk bestond uit eenvoudige instrumenten voor snelle datadiefstal, zijn ze het afgelopen jaar geëvolueerd naar geavanceerde aanvalstools. De huidige generatie infostealers maakt vaak gebruik van modulaire architecturen, waardoor de grens tussen gegevensdiefstal en een volledige backdoor vervaagt. Deze malware is tegenwoordig in staat om payloads versleuteld af te leveren en kan doelwitten specifiek selecteren op basis van hardwarekenmerken of geografische locatie.

De analyse signaleert daarnaast een toename in de activiteit van statelijke actoren op macOS. Deze groepen maken opvallend vaak gebruik van social engineering in plaats van het direct uitbuiten van software-exploits. Er is een verschuiving zichtbaar naar geraffineerde misleidingstactieken, zoals het inzetten van gefingeerde sollicitatiegesprekken, valse coderingsopdrachten en ClickFix-aanvallen. Ook wordt er vaker misbruik gemaakt van vertrouwde platforms om gebruikers te verleiden tot het installeren van schadelijke software, waarbij verschillende soorten malware worden gecombineerd tot een geïntegreerde aanvalsketen.

Een belangrijk technisch kenmerk van de malware-incidenten in 2025 was de focus op stealth-technieken om detectie te omzeilen. Payloads werden herhaaldelijk direct in het systeemgeheugen uitgevoerd en kwaadaardige code werd dynamisch geladen. Bovendien werd er op grotere schaal misbruik gemaakt van dynamische bibliotheken, ook wel dylibs genoemd, als methode om malware af te leveren en een blijvende aanwezigheid op het besmette systeem te waarborgen. Deze ontwikkelingen onderstrepen de toegenomen professionalisering van digitale dreigingen gericht op Apple-gebruikers.

Bron 1

Ledger, fabrikant van hardware wallets voor cryptovaluta, heeft een beveiligingsincident gemeld waarbij klantgegevens zijn ingezien. Het lek is ontstaan bij Global-e, een externe partner die de betalingen voor Ledger verwerkt. Global-e detecteerde ongebruikelijke activiteiten in de cloudsystemen van Ledger, waarna forensische experts zijn ingeschakeld om de omvang van het incident te onderzoeken.

Het onderzoek wijst uit dat onbevoegden toegang hebben gekregen tot persoonlijke informatie, waaronder namen en contactgegevens van klanten. In een verklaring aan CoinDesk benadrukt Ledger dat de systemen van Global-e strikt gescheiden zijn van de beveiligingsmechanismen van de wallets. De betalingsverwerker heeft geen toegang tot geheime sleutels of inzicht in de inhoud van de digitale portemonnees van gebruikers.

Dit is niet het eerste incident waarbij gegevens van Ledger-gebruikers op straat zijn beland. In juni 2020 lekte via e-commercepartner Shopify de informatie van meer dan een miljoen klanten uit. In 2023 was het bedrijf eveneens betrokken bij een incident waarbij financiële schade werd geleden. Het huidige incident betreft specifiek de diefstal van identificerende informatie via de toeleveringsketen.

De fabrikant heeft de betrokken klanten geïnformeerd over het incident. Hoewel de digitale activa op de hardware wallets zelf niet in gevaar zijn, vormen gelekte contactgegevens een risico voor gerichte phishing-pogingen. Het bedrijf waarschuwt gebruikers dat zij nooit naar hun geheime herstelzin zullen vragen.

Bron 1

In het hedendaagse digitale landschap is het beheer van identiteiten niet langer beperkt tot een centrale directory of een enkel HR-systeem. Door de toename van SaaS-oplossingen, cloud-infrastructuren en hybride werkomgevingen is het identiteitslandschap sterk versnipperd geraakt. Terwijl traditionele Identity Access Management-systemen zich richten op de volledig geïntegreerde en beheerde applicaties, blijft een aanzienlijk deel van de digitale omgeving onzichtbaar voor IT-beheerders. Dit fenomeen, waarbij menselijke en niet-menselijke identiteiten buiten het directe toezicht vallen, wordt aangeduid als identity dark matter.

De vorming van deze onzichtbare laag wordt grotendeels veroorzaakt door de complexiteit en kosten die gepaard gaan met het formeel integreren van nieuwe applicaties in bedrijfsnetwerken. Veel applicaties en services worden in gebruik genomen zonder de noodzakelijke connectoren of schema-mappings, waardoor ze als schaduwapplicaties functioneren. Een nog grotere uitdaging wordt gevormd door niet-menselijke identiteiten, zoals API's, bots, service-accounts en autonome AI-agenten. Deze entiteiten communiceren en handelen binnen de infrastructuur, maar worden vaak gecreëerd zonder eigenaarschap, toezicht of levenscyclusbeheer, waardoor ze fundamenteel onbeheersbaar blijven voor conventionele beveiligingstools.

Uit analyses blijkt dat de omvang van deze onbeheerde toegangspunten aanzienlijk is. Statistieken tonen aan dat 44 procent van de organisaties te maken heeft met meer dan duizend verweesde accounts, terwijl 26 procent van alle accounts als inactief wordt beschouwd omdat deze langer dan negentig dagen niet zijn gebruikt. Deze 'slapende' en verweesde accounts creëren kritieke blinde vlekken in de beveiliging. In 2024 bleek dat bij 27 procent van de inbreuken in cloud-omgevingen misbruik werd gemaakt van dergelijke inactieve inloggegevens. Doordat deze identiteiten zich buiten de reguliere audit-scopes bevinden, kunnen aanvallers zich ongezien lateraal door netwerken bewegen.

Om de risico's van identity dark matter te mitigeren, is een fundamentele verschuiving in strategie noodzakelijk. De focus verschuift van configuratiegebaseerd beheer naar governance op basis van observatie. Dit houdt in dat organisaties continu telemetrie moeten verzamelen uit elke applicatie en service, onafhankelijk van standaardconnectoren. Door een uniform en bewijsgericht audittraject te creëren dat inzicht geeft in wie of wat toegang heeft tot specifieke data, wordt het mogelijk om de kloof tussen beheerde en onbeheerde systemen te overbruggen en de onzichtbare risico's om te zetten in controleerbare feiten.

Bron 1

Cybersecurity-onderzoekers hebben twee kwaadaardige extensies in de Chrome Web Store ontdekt die systematisch conversaties van OpenAI ChatGPT en DeepSeek onderscheppen. De extensies sturen deze gesprekken, samen met volledige browsegegevens, door naar externe servers die onder controle staan van aanvallers. Deze vorm van data-extractie via browseradd-ons wordt door experts aangeduid als Prompt Poaching.

De betreffende extensies hebben gezamenlijk meer dan 900.000 installaties en opereren onder de volgende namen:
Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI (600.000 gebruikers) en AI Sidebar with Deepseek, ChatGPT, Claude, and more (300.000 gebruikers). De software doet zich voor als een legitiem hulpmiddel en bootst een bestaande extensie van het bedrijf AITOPIA na.

De werkwijze van de malware berust op het misleiden van de gebruiker. Na installatie wordt toestemming gevraagd voor het verzamelen van anonieme analytische gegevens om de functionaliteit te verbeteren. Zodra de gebruiker akkoord gaat, start de extensie met het verzamelen van volledige chatconversaties en de URL's van alle actieve browsertabbladen. Elke dertig minuten vindt er een gegevensoverdracht plaats naar externe C2-servers. Om de inhoud van de chats te bemachtigen, scant de malware de broncode van de webpagina op specifieke elementen, waarna de data lokaal wordt opgeslagen voor verzending.

De dreigingsactoren maken gebruik van AI-gestuurde ontwikkelplatforms om hun privacybeleid en infrastructuur te hosten, met als doel hun activiteiten te maskeren. De buitgemaakte informatie kan variëren van persoonlijke zoekopdrachten tot vertrouwelijke bedrijfsinformatie en intellectueel eigendom. Dergelijke gegevens kunnen worden gebruikt voor bedrijfsspionage, identiteitsdiefstal of gerichte phishing-aanvallen.

Uit het onderzoek blijkt verder dat ook enkele legitieme extensies met een groot gebruikersbereik, zoals Similarweb en Stayfocusd, technieken voor Prompt Poaching hebben geïmplementeerd. Hoewel zij deze praktijken vaak vermelden in bijgewerkte algemene voorwaarden, maken zij gebruik van methoden zoals DOM-scraping of het onderscheppen van browser-API's om conversatiegegevens van platforms als ChatGPT, Claude en Gemini te extraheren.

Het incident onderstreept de kwetsbaarheid van browser-extensies als vector voor de diefstal van gevoelige informatie. Gebruikers die deze specifieke add-ons hebben geïnstalleerd, wordt geadviseerd deze onmiddellijk uit hun browser te verwijderen om verdere blootstelling van gegevens te voorkomen.

Bron 1

Een actieve phishingcampagne richt zich momenteel op beheerders van WordPress-websites met als doel het buitmaken van creditcardinformatie en codes voor tweefactorauthenticatie. De aanvallers maken gebruik van frauduleuze e-mails die waarschuwen voor de naderende vervaldatum van domeinregistraties. Deze berichten, die doorgaans de onderwerpregel "Renewal due soon – Action required" dragen, dringen aan op directe betaling om serviceonderbreking te voorkomen.

De e-mails bevatten geen specifieke domeinnaam, waardoor de campagne op grote schaal naar diverse organisaties kan worden verzonden. Wanneer een ontvanger de link in het bericht volgt, wordt deze naar een vervalste betaalpagina geleid die visueel identiek is aan de officiële WordPress-omgeving. Op deze pagina worden via een JavaScript-formulier de naam van de kaarthouder, het kaartnummer, de vervaldatum en de CVV-code verzameld. Deze gegevens worden direct via een POST-verzoek doorgestuurd naar backend-scripts die de informatie naar Telegram-kanalen van de aanvallers verzenden.

Na de diefstal van de kaartgegevens volgt een tweede fase waarbij de aanval zich richt op het omzeilen van de 3D Secure-beveiliging. Slachtoffers krijgen een nagemaakt verificatiescherm te zien waarin wordt gevraagd om de eenmalige sms-code (OTP) van hun bank in te voeren. Het systeem is zo ingesteld dat het altijd een foutmelding geeft, ongeacht of de ingevoerde code correct is. Dit dwingt slachtoffers om meerdere codes aan te vragen en in te voeren, die vervolgens stuk voor stuk door de aanvallers worden geoogst voor onrechtmatige transacties.

De frauduleuze website maakt gebruik van kunstmatige vertragingen van enkele seconden tijdens het laadproces om de indruk te wekken dat er een legitieme bankverificatie plaatsvindt. Technisch onderzoek toont aan dat de e-mails worden verzonden via de infrastructuur van Alibaba Cloud en dat de aanvallers Telegram gebruiken voor de data-extractie om detectie te bemoeilijken. Beheerders wordt geadviseerd om nooit via links in e-mails te betalen, maar verlengingen uitsluitend direct via het officiële WordPress-dashboard te controleren en af te handelen.

Bron 1

Een grootschalige malwarecampagne heeft in korte tijd meer dan 100.000 gebruikers wereldwijd getroffen, met een sterke concentratie van infecties in Centraal- en Oost-Europa. De operatie maakt gebruik van CloudEyE, een downloader en cryptor die wordt gedistribueerd via een Malware-as-a-Service model. Dit concept stelt cybercriminelen in staat om infrastructuur te huren voor het verspreiden van schadelijke ladingen, in plaats van zelfstandig dreigingen te ontwikkelen. De malware fungeert als een vehikel voor het afleveren van andere gevaarlijke softwarepakketten, waaronder Rescoms, Formbook en Agent Tesla, die specifiek zijn ontworpen voor het stelen van gevoelige informatie en het compromitteren van computersystemen.

Analisten van ESET Research hebben vastgesteld dat de activiteit van CloudEyE in de tweede helft van 2025 explosief is toegenomen. In een periode van zes maanden werd een dertigvoudige stijging van het aantal detecties geregistreerd. Deze significante toename duidt erop dat het platform een veelgebruikt instrument is geworden voor actoren die opereren binnen en buiten Europa. De architectuur van de malware is specifiek ontworpen om detectie door beveiligingsoplossingen te ontwijken, waarbij gebruik wordt gemaakt van geavanceerde verhullingstechnieken.

Het infectiemechanisme van CloudEyE verloopt via een proces dat uit meerdere stadia bestaat. De eerste fase betreft een downloader die zich verspreidt via PowerShell-scripts, JavaScript-bestanden en NSIS-installatieprogramma's. Zodra deze initiële component op een doelsysteem is geïnstalleerd, wordt de volgende fase geactiveerd. Hierbij wordt een cryptor-component gedownload die de uiteindelijke payload versleutelt en maskeert voordat deze wordt uitgevoerd. Door deze werkwijze is de schadelijke code lastig te analyseren en te identificeren.

De distributie van de malware vindt voornamelijk plaats via gerichte e-mailcampagnes die leunen op social engineering. Gedurende september en oktober 2025 werden met name zakelijke doelwitten benaderd via berichten die afkomstig leken van legitieme bronnen. Aanvallers maakten daarbij gebruik van gecompromitteerde zakelijke accounts om e-mails te versturen die inhoudelijk en taalkundig waren aangepast aan de regio van het slachtoffer. De berichten vermomden zich als routinematige zakelijke correspondentie, zoals betaalverzoeken, bestelbevestigingen of notificaties over pakketbezorging, om de ontvanger te bewegen tot het openen van de schadelijke bijlagen.

Bron 1

GravityRAT, een Remote Access Trojan die oorspronkelijk als Windows-bedreiging begon, heeft zich ontwikkeld tot geavanceerde cross-platform malware die ook macOS- en Android-systemen infecteert. Uit technische analyses blijkt dat de software specifieke methoden hanteert om analyse-omgevingen te herkennen, waaronder het uitlezen van de temperatuur van de processor. De malware verspreidt zich voornamelijk via misleidende applicaties die zich voordoen als legitieme berichtendiensten, waarbij de actoren achter de dreiging hun methodieken tussen 2022 en 2024 aanzienlijk hebben verfijnd.

Een opvallend technisch kenmerk van de huidige varianten is de implementatie van geavanceerde evasietechnieken. Om detectie door beveiligingsonderzoekers en geautomatiseerde sandboxes te voorkomen, controleert de malware de fysieke status van de hardware. Specifiek wordt via Windows Management Instrumentation (WMI) de temperatuur van de processor opgevraagd. Omdat veel virtualisatieplatforms en testomgevingen deze thermische data niet kunnen simuleren of doorgeven, gebruikt de malware het ontbreken van deze gegevens als indicator voor een virtuele omgeving. Bij detectie van een dergelijke omgeving staakt de kwaadaardige code onmiddellijk zijn activiteiten, waardoor detectie door beveiligingssoftware wordt bemoeilijkt. Naast deze temperatuurcheck worden ook BIOS-versies, MAC-adressen en het aantal processorkernen gecontroleerd.

Op mobiele apparaten richt GravityRAT zich specifiek op het ontvreemden van communicatiegegevens. De malware verhult zich als chat-applicaties met namen zoals Speak Freely, BingeChat of Chatico. Na infectie wordt het toestel doorzocht op WhatsApp-back-ups, simkaartgegevens, sms-berichten, oproeplogboeken en diverse documentformaten zoals .jpg, .pdf en .txt. De verzamelde data wordt vervolgens gecomprimeerd en via versleutelde verbindingen naar externe servers verzonden. De malware verzekert zich van langdurige toegang tot geïnfecteerde systemen door het aanmaken van geplande taken die bij het opstarten van het apparaat worden geactiveerd.

De infrastructuur achter deze aanvallen wordt centraal beheerd via een administratieve tool, GravityAdmin, waarmee meerdere campagnes gelijktijdig worden aangestuurd. Deze campagnes, die in technische rapporten worden aangeduid met codenamen zoals FOXTROT en CLOUDINFINITY, tonen aan dat de beheerders beschikken over de middelen om complexe operaties uit te voeren. Hoewel de waargenomen doelwitten zich voornamelijk binnen de overheids- en defensiesector bevinden, is de gebruikte techniek om detectie te omzeilen relevant voor de bredere beveiligingsgemeenschap.

Bron 1

De dreigingsgroep Scattered Lapsus$ Hunters is na een periode van afwezigheid opnieuw actief waargenomen met een gewijzigde operationele strategie. De groep, die eerder verantwoordelijk was voor aanvallen op de toeleveringsketen van Salesforce-integraties, richt zich nu nadrukkelijk op het rekruteren van interne medewerkers om toegang te verkrijgen tot bedrijfsnetwerken. Centraal in deze nieuwe campagne staat de lancering van ShinySp1d3r, een Ransomware-as-a-Service platform dat wordt gepresenteerd als een samenwerkingsverband tussen actoren die gelieerd zijn aan ShinyHunters, Scattered Spider en Lapsus$.

Uit observaties op ondergrondse kanalen blijkt dat de groep zich specifiek richt op organisaties met een jaaromzet van meer dan vijfhonderd miljoen dollar. Hierbij worden bedrijven in de telecommunicatie, softwareontwikkeling, gamingindustrie en callcenters als voornaamste doelwitten aangemerkt. In de wervingsberichten wordt expliciet vermeld dat organisaties in de gezondheidszorg, evenals entiteiten in Rusland, China, Noord-Korea en Wit-Rusland, buiten het doelgebied vallen. De strategie verschuift hiermee van externe social engineering naar een gestructureerde aanpak waarbij insiders worden ingezet als initiële toegangspoort.

Om medewerkers te verleiden hun inloggegevens te delen of toegang te faciliteren, hanteert de groep een gedetailleerd commissiemodel. Voor toegang tot systemen die verbonden zijn met Active Directory wordt een percentage van vijfentwintig procent in het vooruitzicht gesteld. Voor toegang tot cloud-identiteitsplatforms, zoals Okta, het Azure Portal en AWS IAM root-toegang, geldt een vergoeding van tien procent. De aanvallers zijn specifiek op zoek naar mogelijkheden om binnen te dringen via VPN, VDI, Citrix of AnyDesk.

De groep tracht twijfels bij potentiële insiders weg te nemen door in te spelen op de angst voor detectie. In recente communicatie wordt verwezen naar eerdere incidenten bij grote technologiebedrijven, waarbij de claim wordt neergelegd dat informanten die de instructies correct opvolgen onopgemerkt blijven. Om de technische capaciteiten en geloofwaardigheid te onderstrepen, zijn screenshots verspreid van interne dashboards en inlogportalen die vermoedelijk door insiders zijn aangeleverd. Soms wordt de naam LizardSquad gebruikt in communicatie, al lijkt dit voornamelijk te dienen om een reputatie op te bouwen. De introductie van het ShinySp1d3r-platform wijst op een intentie om deze werkwijze gedurende 2026 intensief voort te zetten.

Bron 1

Een recente aanval op een grote Amerikaanse vastgoedonderneming illustreert een tactische verschuiving binnen de cybercriminaliteit, waarbij de focus ligt op langdurige onzichtbaarheid in plaats van directe disruptie. Uit analyse van Morphisec Threat Labs blijkt dat aanvallers het Tuoni command-and-control framework inzetten om zich weken- tot maandenlang in netwerken te verbergen. Deze specifieke campagne onderscheidde zich door het gebruik van geavanceerde technieken zoals door kunstmatige intelligentie gegenereerde code en steganografie om detectiesystemen te misleiden.

De infectiemethode kenmerkte zich door het volledig ontbreken van bestandssporen op de harde schijf. De Tuoni-malware maakte gebruik van steganografie om schadelijke payloads te verbergen in BMP-afbeeldingsbestanden die voor beveiligingsscanners legitiem leken. Bij het openen van een dergelijk bestand werd de malware via 'reflective memory loading' direct in het tijdelijke geheugen geladen. Doordat er geen bestanden naar de schijf werden geschreven, werden traditionele detectiemethoden gebaseerd op handtekeningen en schijfactiviteit effectief omzeild.

Deze aanpak stelde de malware in staat om onopgemerkt te blijven voor antivirussoftware, Endpoint Detection and Response (EDR) systemen en sandbox-omgevingen. Naast de uitvoering in het geheugen speelden AI-enhanced loaders een cruciale rol. Deze loaders genereerden dynamisch code tijdens de uitvoering, waardoor het gedrag van de malware continu veranderde en patroonherkenning door beveiligingstools werd bemoeilijkt.

Vanuit de verborgen positie in het geheugen richtte het modulaire Tuoni-framework zich op het buitmaken van inloggegevens en het behouden van toegang over meerdere sessies heen. De aanvallers benutten de onopgemerkte aanwezigheid om het netwerk in kaart te brengen en systemen voor te bereiden op een uiteindelijke uitrol van ransomware. Het gebrek aan detectie gaf de actoren de gelegenheid om gedurende langere tijd gevoelige data te verzamelen en hun grip op de infrastructuur te verstevigen.

Bron 1

Analisten van Forcepoint X-Labs hebben details gepubliceerd over een complexe phishingcampagne die gedurende de recente feestdagenperiode actief was. De aanvallers combineerden hierbij het buitmaken van zakelijke inloggegevens via vervalste DocuSign-documenten met grootschalige identiteitsdiefstal via frauduleuze leningaanvragen. De timing van de campagne was specifiek gericht op de periode rond Kerstmis en de jaarwisseling, waarbij werd ingespeeld op de verminderde alertheid door seizoensdrukte en administratieve achterstanden.

Bij de zakelijke aanvalsvector ontvingen doelwitten e-mails die visueel sterk leken op authentieke berichten van de ondertekendienst DocuSign. Deze berichten, die onder andere refereerden aan documenten zoals inkooporders voor wijnbestellingen, waren afkomstig van domeinen zoals jritech.shop in plaats van de officiële servers. Technische analyse toont aan dat de aanvallers gebruikmaakten van een gelaagde infrastructuur om detectie door beveiligingsfilters te voorkomen. Na het klikken op de link in de e-mail werd het netwerkverkeer omgeleid via diverse legitieme hostingplatforms, waaronder Fastly, Glitch en Surge.sh, alvorens de gebruiker op de uiteindelijke landingspagina belandde die bedoeld was voor het oogsten van inloggegevens.

Naast de focus op zakelijke inloggegevens identificeerden de onderzoekers een parallelle activiteit gericht op particulieren. Via spamcampagnes werden leningen aangeboden die leidden naar domeinen zoals christmasscheercash.com. Op deze locatie werd een stapsgewijs proces voor gegevensverzameling gehanteerd om argwaan te minimaliseren. De frauduleuze website begon met algemene vragen over het gewenste leenbedrag en persoonlijke basisgegevens. Naarmate het proces vorderde, werden steeds specifiekere details uitgevraagd over werkgevers, voertuigbezit en de woonsituatie van het slachtoffer.

In de laatste fase van de leningfraude richtten de aanvallers zich op directe financiële data, waaronder rekeningnummers en bankcodes, onder het voorwendsel dat deze vereist waren voor de uitbetaling van het bedrag. Na afronding van de procedure werden slachtoffers automatisch doorverwezen naar geassocieerde frauduleuze domeinen, zoals thepersonalfinanceguide.com, waar het proces van dataverzameling zich herhaalde. Deze methodiek van doorverwijzing tussen verschillende malafide sites wordt door experts aangeduid als een tactiek om de hoeveelheid buitgemaakte data per slachtoffer te maximaliseren binnen één ecosysteem.

Bron 1

Een threat actor die opereert onder de naam RedTeam adverteert met een nieuwe brute-force applicatie genaamd Brutus. Deze tool wordt specifiek in de markt gezet voor het aanvallen van services die gerelateerd zijn aan Fortinet. De software wordt aangeboden voor een bedrag van 1.500 dollar.

De geadverteerde specificaties geven aan dat de tool is geschreven in de programmeertaal Go, wat de applicatie cross-platform inzetbaar maakt op verschillende besturingssystemen. Naast de focus op Fortinet-services, wordt melding gemaakt van functionaliteiten voor het aanvallen van SSH-, RDP-, VNC- en Shell-toegangen. De applicatie beschikt tevens over een ingebouwde scanner.

Om detectie te bemoeilijken en blokkades te omzeilen, biedt de tool ondersteuning voor zowel SOCKS- als HTTP-proxies, inclusief de mogelijkheid om gebruik te maken van roterende proxies. Voor de uitvoering van de aanvallen ondersteunt de software diverse methoden voor het inladen van inloggegevens. Gebruikers kunnen combinaties importeren in formaten zoals url:login:pass, of gebruikmaken van afzonderlijke tekstbestanden voor IP-adressen, gebruikersnamen en wachtwoorden. Daarnaast wordt geclaimd dat de tool de capaciteit heeft om tijdens het proces zelf nieuwe combinaties van inloggegevens te genereren.

Op 1 januari 2026 is er melding gemaakt van een advertentie die circuleert op een forum op het dark web, waarin toegang wordt aangeboden tot een intern paneel van de cryptocurrency-exchange Kraken. De aanbieder van deze gegevens stelt dat het gaat om een account met alleen-lezen rechten, maar claimt dat de koper hiermee wel toegang heeft tot gevoelige gebruikersinformatie. Volgens de tekst in de advertentie omvat de toegang het inzien van volledige gebruikersprofielen en transactiegeschiedenissen. Er wordt gesteld dat er geen IP-beperkingen van toepassing zijn, doordat de verbinding via het systeem van de exchange zelf zou worden geproxied.

Een belangrijk onderdeel van de aangeboden data betreft de claim dat volledige Know Your Customer-documentatie inzichtelijk is. De verkoper specificeert dat dit documenten betreft zoals identiteitsbewijzen, selfies ter verificatie, bewijzen van adresgegevens en documentatie over de herkomst van financiële middelen. Hoewel het account volgens de beschrijving geen rechten heeft om directe wijzigingen of transacties uit te voeren, wordt expliciet vermeld dat de toegang gebruikt kan worden om supporttickets te genereren. Dit mechanisme wordt door de verkoper aangeprezen als een methode om via social engineering of phishing extra gegevens te verkrijgen.

De advertentie vermeldt specifieke technische details over de duurzaamheid van de toegang. Er wordt gesteld dat de inloggegevens minstens één tot twee maanden geldig blijven voordat er een rotatie plaatsvindt, waarbij de Time-based One-Time Password-code in februari zou verlopen. De vraagprijs voor deze toegang is opvallend laag vastgesteld op een startbedrag van één Amerikaanse dollar, wat onderhandelbaar zou zijn. Deze lage prijsstelling heeft in online discussies geleid tot scepsis over de betrouwbaarheid van de aanbieding. Een persoon die aangaf ervaring te hebben met de interne systemen van de betreffende exchange, merkte op dat de beschreven procedure rondom de rotatie van authenticatiecodes niet overeenkomt met de werkelijkheid, wat zou kunnen duiden op een frauduleuze advertentie. Uit de beschikbare informatie blijkt niet dat Kraken de authenticiteit van het lek of de geldigheid van de aangeboden toegang heeft bevestigd.

Het threat intelligence platform DarkFeed heeft de detectie gemeld van een nieuwe actor binnen het landschap van digitale dreigingen. Deze groepering wordt door de onderzoekers aangeduid met de naam Fletchen. De analisten van het platform hebben aangegeven dat er specifieke trackingmethoden aan hun systemen zijn toegevoegd om de activiteiten van deze nieuwe partij te monitoren.

Er wordt verwezen naar een beschikbaar inlichtingenrapport waarin verdere details over de identiteit van Fletchen zijn opgenomen. De waarneming wordt in de publicatie direct in verband gebracht met diverse categorieën binnen de informatiebeveiliging, waaronder ransomware en malware. Deze classificatie duidt op de aard van de dreiging die relevant is voor Security Operations Centers en verantwoordelijken voor informatiebeveiliging die zich richten op de detectie van digitale aanvallen.

De integratie van kunstmatige intelligentie in cyberaanvallen heeft geleid tot een aanzienlijke verschuiving in de effectiviteit van phishingcampagnes. Mariusz Kujawski, vicepresident van ComCERT binnen de Asseco Group, meldt dat campagnes die zijn gegenereerd door AI inmiddels een doorklikratio van 54 procent behalen. Dit staat in schril contrast met traditionele methoden, waarbij het succespercentage op slechts 12 procent ligt. Deze cijfers onderstrepen volgens de expert dat er een nieuw tijdperk in cybersecurity is aangebroken waarin conventionele detectiemethoden onder druk staan.

Kujawski waarschuwt dat de huidige technologische ontwikkelingen betekenen dat het niet langer haalbaar is om elk aspect van een digitale omgeving volledig te beveiligen. De verfijning van AI-gestuurde aanvallen zorgt ervoor dat kwaadaardige e-mails en berichten nauwelijks meer van legitieme communicatie te onderscheiden zijn. Dit dwingt security-experts en organisaties om te erkennen dat een waterdichte verdediging tegen elke mogelijke inbreuk in de praktijk onmogelijk is geworden.

Bij het identificeren van de belangrijkste trends voor 2026 ligt de nadruk op de asymmetrie tussen aanval en verdediging. Terwijl beveiligingsbedrijven AI inzetten voor detectie, gebruiken cybercriminelen dezelfde technologie om hun aanvallen op te schalen en te personaliseren. De waarschuwing van de Asseco Group maakt duidelijk dat de menselijke factor, door de overtuigingskracht van AI, kwetsbaarder is dan ooit tevoren.

Bron 1

Specialisten op het gebied van factchecking en digitale verificatie hebben vastgesteld dat een virale video, waarin emotionele straatbeelden uit Venezuela worden getoond, volledig is vervaardigd met behulp van kunstmatige intelligentie. De beelden werden op grote schaal verspreid via sociale mediaplatformen en gepresenteerd als een authentieke weergave van de reacties op de recente politieke ontwikkelingen in het land. Na een gedetailleerde technische analyse is echter gebleken dat er geen sprake is van echte opnames, maar van geavanceerde synthetische content.

Het onderzoek naar deze video laat zien hoe generatieve AI wordt ingezet om overtuigende desinformatie te creëren. De analyse richtte zich op specifieke technische inconsistenties die kenmerkend zijn voor huidige AI-modellen, waaronder onnatuurlijke patronen in gezichtsuitdrukkingen en kleine vervormingen in de achtergrond van de beelden. Het incident dient als een praktijkvoorbeeld van de technologische vooruitgang in de productie van gemanipuleerde media, waarbij het voor internetgebruikers steeds complexer wordt om visuele informatie op waarde te schatten zonder specialistische verificatietools.

De verspreiding van dergelijke AI-geproduceerde content is een groeiend fenomeen binnen het digitale landschap. Het illustreert de verschuiving waarbij visueel bewijsmateriaal niet langer automatisch als feitelijk kan worden beschouwd. Voor de digitale veiligheid en informatievoorziening is de detectie van deze beelden cruciaal, aangezien de technieken die worden gebruikt voor het creëren van deze video's ook kunnen worden toegepast in andere contexten waar digitale misleiding een rol speelt. De verificatie-experts benadrukken dat kritische analyse en technische controle noodzakelijk blijven om de feitelijke juistheid van virale digitale media vast te stellen.

Bron 1

De verkoop van fictieve voertuigen via gehackte accounts op Facebook en Instagram is een hardnekkig probleem voor de online veiligheid. Criminelen maken gebruik van gestolen inloggegevens om legitieme profielen over te nemen en vervolgens advertenties te plaatsen voor voertuigen tegen onrealistisch lage prijzen. Doordat de advertenties geplaatst worden via de accounts van echte personen, wordt de vertrouwensband met vrienden en volgers misbruikt om de geloofwaardigheid van het aanbod te vergroten.

De tactiek van de fraudeurs steunt op sociale manipulatie. Er worden vaak emotionele verhalen gebruikt, zoals een acute familiecrisis of een sterfgeval, om de lage prijs en de haast bij de verkoop te verklaren. Potentiële kopers worden bewogen om een aanbetaling te doen om het voertuig te reserveren, nog voordat zij de auto fysiek hebben kunnen bezichtigen. Hierbij wordt gevraagd om betaalmethoden die niet kunnen worden teruggedraaid. Zodra het geld is overgemaakt, wordt het contact verbroken en blijft de koper met financiële schade achter.

Uit technische analyses blijkt dat de fraudeurs gebruikmaken van geraffineerde phishing-methoden om toegang te krijgen tot de accounts. Hierbij worden onder andere vervalste chatberichten van platformbeheerders ingezet die gebruikers verleiden hun inloggegevens af te staan. Ook de inzet van kunstmatige intelligentie speelt een rol bij het genereren van overtuigende teksten voor de advertenties. Veel van deze frauduleuze berichten blijven langdurig online staan, ondanks meldingen door de rechtmatige eigenaren van de gehackte profielen.

De impact van deze werkwijze is aanzienlijk, aangezien de daders erin slagen om zowel de beveiligingsmechanismen van de platforms als de natuurlijke voorzichtigheid van consumenten te omzeilen. De methode waarbij bekende contactpersonen als afzender van de fraude fungeren, maakt deze vorm van voertuigfraude tot een complexe uitdaging voor de moderatie op sociale netwerken.

Bron 1

Cybercriminelen maken in toenemende mate misbruik van complexe e-mailroutingscenario's en onjuist geconfigureerde beveiligingsinstellingen om domeinen van organisaties te imiteren. Microsoft waarschuwt dat hierdoor phishingberichten de postvakken van werknemers kunnen bereiken, ondanks de aanwezigheid van diverse beveiligingsmaatregelen. Deze aanvalsmethode wordt sinds mei 2025 vaker waargenomen en kenmerkt zich door een opportunistisch karakter waarbij uiteenlopende sectoren doelwit zijn. Veelvoorkomende thema's in deze campagnes zijn onder meer voicemails, gedeelde documenten, HR-communicatie en meldingen over verlopen inloggegevens.

Het risico op deze vorm van spoofing is aanzienlijk wanneer MX-records niet direct naar Office 365 wijzen en de spoofingbeveiliging niet strikt wordt gehandhaafd. Uit analyses blijkt dat veel van deze aanvallen onderdeel zijn van phishing-as-a-service (PhaaS)-platforms, zoals Tycoon2FA. Deze platforms faciliteren aanvallers met kant-en-klare phishingberichten en infrastructuur, waaronder ondersteuning voor adversary-in-the-middle (AiTM)-technieken om multifactorauthenticatie te omzeilen. In oktober 2025 blokkeerde Microsoft Defender for Office 365 meer dan 13 miljoen kwaadaardige e-mails die aan Tycoon2FA gelinkt waren, waarbij in veel gevallen domeinen van organisaties werden geïmiteerd.

Organisaties kunnen via een analyse van e-mailheaders vaststellen dat berichten niet intern zijn verstuurd maar afkomstig zijn van externe IP-adressen. Belangrijke indicatoren zijn SPF-foutmeldingen, fouten in het DMARC-authenticatieproces of het ontbreken van DKIM. Een specifiek technisch signaal binnen de headers betreft de situatie waarin de header 'X-MS-Exchange-Organization-InternalOrgSender' de waarde 'True' bevat, terwijl de header 'X-MS-Exchange-Organization-MessageDirectionality' de status 'Incoming' aangeeft. Deze combinatie wijst erop dat e-mails extern zijn verzonden ondanks de interne weergave.

Om bescherming te bieden tegen deze werkwijze adviseert Microsoft een aantal specifieke configuraties. Dit omvat het strikt instellen van DMARC op 'reject' en SPF op 'hard fail', evenals een correcte implementatie van DKIM. Tevens is het van belang dat externe connectors en configuraties van derden correct zijn ingesteld voor spoofingdetectie. Daarnaast wordt het gebruik van Safe Links en Zero-hour auto purge aanbevolen voor respectievelijk tijdige URL-scans en het achteraf blokkeren van berichten, evenals de implementatie van phishing-resistente multifactorauthenticatie zoals FIDO2-beveiligingssleutels of passkeys.

Bron 1

Het bestandsdelingsplatform ownCloud heeft een officiële waarschuwing afgegeven aan zijn gebruikers naar aanleiding van incidenten waarbij bedrijfsgegevens zijn ontvreemd. De organisatie dringt er bij beheerders en gebruikers op aan om onmiddellijk multifactorauthenticatie (MFA) in te schakelen. Deze maatregel is noodzakelijk om te voorkomen dat aanvallers met gestolen inloggegevens toegang krijgen tot gevoelige informatie en systemen. De waarschuwing is gebaseerd op een onderzoek van cybersecuritybedrijf Hudson Rock, waarin wordt geconstateerd dat diverse zelfgehoste platformen, waaronder installaties van de ownCloud Community Edition, zijn gecompromitteerd.

Uit de analyse blijkt dat de incidenten niet zijn veroorzaakt door een technisch lek of een kwetsbaarheid in de software van ownCloud zelf. Er is geen sprake van het misbruiken van zero-day exploits. De ongeautoriseerde toegang vond plaats via een specifieke aanvalsketen waarbij inloggegevens werden buitgemaakt met behulp van infostealer-malware, zoals RedLine, Lumma of Vidar. Deze malware infecteert apparaten van medewerkers om opgeslagen wachtwoorden te onderscheppen. Vervolgens gebruikten de aanvallers deze gegevens om in te loggen op accounts die uitsluitend beveiligd waren met een wachtwoord en waar MFA ontbrak.

De relevantie van dit incident is aanzienlijk vanwege de brede inzet van het platform binnen de publieke en private sector. Wereldwijd maken ruim 200 miljoen gebruikers gebruik van ownCloud, waaronder grote Europese instellingen zoals de Europese Commissie, het Europees Instituut voor Kernfysisch Onderzoek (CERN) en de Europese Investeringsbank. Het onderzoek van Hudson Rock identificeerde duizenden besmette computers, waarbij ook sporen van infecties werden aangetroffen binnen de netwerken van diverse grote internationale ondernemingen en overheidsinstanties.

Naast het activeren van MFA adviseert ownCloud een reeks aanvullende veiligheidsmaatregelen. Beheerders wordt aangeraden om alle gebruikerswachtwoorden te resetten en alle actieve sessies ongeldig te maken, waardoor gebruikers gedwongen worden zich opnieuw te authenticeren. Tevens wordt geadviseerd om de toegangslogs van de servers te controleren op verdachte inlogactiviteiten. Deze stappen zijn essentieel om de integriteit van de data te waarborgen en ongeautoriseerde toegang in de toekomst te blokkeren, zelfs indien inloggegevens in het bezit van derden zijn gekomen.

Bron 1

Microsoft heeft een officieel onderzoek gestart naar een defect in de klassieke versie van Outlook dat voorkomt dat ontvangers versleutelde e-mails kunnen lezen. Het probleem is geïdentificeerd als een bekende fout die is geïntroduceerd na een recente software-update. De verstoring heeft specifiek betrekking op berichten die zijn beveiligd met de restrictie "Alleen versleutelen". Deze instelling wordt doorgaans gebruikt om de inhoud van een bericht te beveiligen terwijl basishandelingen zoals kopiëren en doorsturen toegestaan blijven.

De fout treedt op bij systemen die zijn bijgewerkt naar Current Channel Versie 2511 (Build 19426.20218). Gebruikers die proberen een versleuteld bericht te openen, krijgen in het leesvenster de melding dat de inhoud met beperkte machtigingen niet kan worden weergegeven totdat de inloggegevens zijn geverifieerd. In de praktijk blijkt echter dat het openen van het item en het verifiëren van de gegevens de blokkade niet opheft. In plaats van de tekstuele inhoud van de e-mail wordt er enkel een bijlage met de bestandsnaam message_v2.rpmsg getoond, waardoor de informatie onbereikbaar blijft voor de ontvanger.

Hoewel Microsoft heeft bevestigd dat het Outlook-team aan een structurele oplossing werkt, is er op dit moment nog geen termijn bekendgemaakt waarbinnen een herstelupdate wordt verwacht. Ter overbrugging zijn er twee methoden beschikbaar om de toegang tot de e-mails te herstellen. Een eerste optie ligt bij de verzender van het bericht: door een versleutelde e-mail na het opstellen eerst handmatig op te slaan voordat deze wordt verzonden, kan de ontvanger de e-mail in veel gevallen wel correct openen.

Voor organisaties en gebruikers die direct weer volledige functionaliteit nodig hebben, bestaat de mogelijkheid om de softwareversie terug te draaien naar een voorgaande build die niet door deze bug wordt getroffen. Dit proces vereist het afsluiten van alle Office-applicaties en het uitvoeren van een specifieke opdracht via een opdrachtprompt met verhoogde bevoegdheden. Hiermee wordt de software geforceerd teruggezet naar versie 16.0.19426.20186 door het commando "%programfiles%\Common Files\Microsoft Shared\ClickToRun\officec2rclient.exe" /update user updatetoversion=16.0.19426.20186 uit te voeren.

De afgelopen periode zijn er vaker technische complicaties gerapporteerd binnen de klassieke Outlook-omgeving. Eerder werden problemen verholpen die betrekking hadden op een ongewoon hoog processorgebruik tijdens het opstellen van berichten en storingen waarbij de drag-and-drop-functionaliteit na Windows-updates niet meer werkte. Ook waren er eerdere incidenten waarbij foutmeldingen ontstonden bij het openen van versleutelde berichten of waarbij de applicatie vastliep bij het starten van nieuwe e-mails.

Bron 1

Door aanhoudende sneeuwval en code oranje is het vliegverkeer van KLM op 7 januari 2026 ernstig ontregeld. De luchtvaartmaatschappij waarschuwt officieel voor cybercriminelen die misbruik maken van deze situatie door passagiers van geannuleerde vluchten te benaderen. Oplichters doen zich hierbij voor als medewerkers van het KLM Customer Support Team.

De fraudeurs maken gebruik van verschillende methoden om reizigers te misleiden. Er wordt verwezen naar valse externe links en schadelijke applicaties onder het voorwendsel dat deze nodig zijn voor het verwerken van vluchtcompensatie. Daarnaast circuleren er op het internet onjuiste telefoonnummers die onterecht worden gepresenteerd als de officiële klantenservice van KLM.

KLM adviseert passagiers nadrukkelijk om geen persoonlijke of betalingsgegevens te delen via deze kanalen en de afzender van berichten zorgvuldig te controleren. Contact met de luchtvaartmaatschappij dient uitsluitend plaats te vinden via de officiële website of de eigen mobiele applicatie. Deze vorm van oplichting beperkt zich niet tot de luchtvaart; ook bij andere vervoerders worden reizigers benaderd met valse berichten over reisverstoringen en compensatieformulieren.

Onderzoekers van ThreatLabz hebben in november 2025 drie kwaadaardige pakketten geïdentificeerd in de npm-database die gericht waren op het verspreiden van malware. De pakketten droegen de namen bitcoin-main-lib, bitcoin-lib-js en bip40 en waren ontworpen om de legitieme bitcoinjs-bibliotheek na te bootsen. De malware, aangeduid als NodeCordRAT, functioneert als een remote access trojan en is specifiek ontwikkeld voor het stelen van gevoelige gegevens en cryptocurrency. Uit de analyse blijkt dat de pakketten gezamenlijk enkele duizenden keren zijn gedownload voordat ze werden verwijderd.

De infectieketen start doorgaans bij de installatie van de zogeheten wrapper-pakketten bitcoin-main-lib of bitcoin-lib-js. Deze bevatten een postinstallatiescript dat automatisch wordt uitgevoerd na de installatie. Dit script roept vervolgens het pakket bip40 aan, waarin de daadwerkelijke kwaadaardige lading zich bevindt. De aanvallers maken gebruik van Process Manager 2 om de malware op de achtergrond te laten draaien, waarbij het proces wordt losgekoppeld van de installatieprocedure om detectie te bemoeilijken. Alle drie de pakketten zijn terug te leiden naar één auteur die gekoppeld is aan het e-mailadres supertalented730@gmail.com.

Zodra NodeCordRAT actief is op een systeem, voert de malware een inventarisatie uit om de machine uniek te identificeren. Op Windows-systemen gebeurt dit via het ophalen van het UUID, terwijl op Linux en macOS specifieke machine-ID-bestanden worden uitgelezen. De malware richt zich vervolgens op het exfiltreren van specifieke data, waaronder inloggegevens uit Google Chrome, API-tokens en informatie uit cryptocurrency-wallets zoals MetaMask. Hierbij wordt actief gezocht naar privésleutels en herstelzinnen die toegang geven tot de digitale activa van het slachtoffer.

Voor de aansturing en gegevensoverdracht maakt de malware gebruik van het communicatieplatform Discord. Er wordt verbinding gemaakt met een hardcoded Discord-server, waarna een privékanaal wordt opgezet dat fungeert als command-and-control-infrastructuur. Via deze weg kunnen de aanvallers gestolen gegevens ontvangen en verdere instructies naar het geïnfecteerde systeem sturen zonder direct op te vallen in het netwerkverkeer. Hoewel de pakketten uit de npm-registry zijn verwijderd, toont dit incident aan hoe supply chain-aanvallen misbruik maken van typefouten en naamgelijkenissen binnen open-source ecosystemen.

Bron 1

De cybercriminele formatie Black Cat heeft een nieuwe aanvalsgolf gelanceerd waarbij geavanceerde zoekmachineoptimalisatie wordt misbruikt om vervalste installatiebestanden van de populaire teksteditor Notepad++ te verspreiden. Door manipulatie van zoekalgoritmen verschijnen frauduleuze websites bovenaan de resultatenpagina's, waardoor gebruikers worden verleid tot het downloaden van software die is voorzien van achterdeurtjes. Deze malafide domeinen zijn nauwkeurig vormgegeven om legitieme softwarearchieven na te bootsen en bevatten vaak handleidingen om de geloofwaardigheid van de bron te versterken.

Het infectieproces wordt ingeleid via een downloadketen met meerdere omleidingen die eindigen op een nagemaakte GitHub-pagina. Analisten hebben vastgesteld dat deze specifieke campagne in de maand december 2025 reeds 277.800 servers succesvol heeft gecompromitteerd. De malware installeert na uitvoering een misleidende snelkoppeling op het bureaublad die verwijst naar het toegangspunt van de kwaadaardige code in plaats van de beoogde applicatie. Hierbij wordt gebruikgemaakt van een strategie waarbij een legitiem uitvoerbaar bestand een kwaadaardige DLL laadt.

Deze specifieke DLL is verantwoordelijk voor het lokaliseren en ontsleutelen van een verborgen bestand met de naam M9OLUM4P.1CCE. De uiteindelijke payload wordt vervolgens via reflectie direct in het systeemgeheugen geladen, waardoor traditionele detectiemethoden die bestanden op de harde schijf scannen, worden omzeild. Om persistentie op het geïnfecteerde systeem te verkrijgen, creëert de malware specifieke registeritems die ervoor zorgen dat de kwaadaardige software bij elke systeemstart automatisch wordt geactiveerd.

Na de succesvolle nesteling start de software de communicatie met de command-and-control server, die in de broncode is vastgelegd als https://www.google.com/search?q=sbido.com op poort 2869. De aanvallers passen de achterliggende IP-adressen frequent aan om statische netwerkblokkades te ontwijken. Het hoofddoel van deze operatie is het ongemerkt buitmaken van gevoelige informatie, waaronder browsergegevens, de inhoud van het klembord en realtime registraties van toetsaanslagen.

Bron 1

De ransomware-as-a-service operatie LockBit heeft een nieuwe versie uitgebracht onder de naam LockBit 5.0. Deze variant markeert een technologische ontwikkeling door het gebruik van versterkte encryptiemethoden en tactieken om beveiligingsanalyses te bemoeilijken. Sinds de opkomst van de groep in september 2019 heeft LockBit een prominente positie ingenomen in de wereldwijde cybercriminaliteit, waarbij de groep in 2023 verantwoordelijk was voor ongeveer 21 procent van alle geregistreerde ransomware-aanvallen.

LockBit 5.0 hanteert een gestructureerd aanvalsproces dat uit drie fasen bestaat. De eerste fase behelst het verkrijgen van toegang tot systemen via kwetsbaarheden in software of door het gebruik van gecompromitteerde inloggegevens. Vervolgens vindt er zijwaartse verplaatsing binnen het netwerk plaats, gecombineerd met het verhogen van de toegangsrechten. De laatste fase betreft de volledige implementatie van de ransomware over het gehele netwerk. De financiële impact van deze operaties is omvangrijk, met wereldwijde schade door misgelopen inkomsten en herstelkosten.

Op technisch vlak vertoont de nieuwe versie een hoge mate van complexiteit. LockBit 5.0 is in staat om zelfstandig te functioneren, zelfs wanneer de malware zonder specifieke parameters wordt uitgevoerd. Om systeemherstel door slachtoffers te dwarsbomen, beëindigt de software processen die gerelateerd zijn aan de Volume Shadow Copy Service. Daarnaast maakt de malware gebruik van geavanceerde packing- en obfuscatietechnieken om statische analyse door beveiligingsonderzoekers te bemoeilijken. Specifieke systeemdiensten, waaronder back-upoplossingen van Veeam en Backup Exec, evenals Microsoft Edge Update-services, worden systematisch uitgeschakeld met behulp van hardcoded hash-waarden.

Het encryptiemechanisme van LockBit 5.0 combineert diverse cryptografische algoritmen. Er wordt gebruikgemaakt van ChaCha20-Poly1305 voor de versleuteling van bestanden, terwijl X25519 en BLAKE2b worden ingezet voor de beveiligde uitwisseling van sleutels. De malware genereert willekeurige getallen op basis van systeemtijd en geheugeninformatie om unieke versleutelingssleutels te creëren. Bestanden kleiner dan 8 megabyte worden in één keer verwerkt, terwijl grotere bestanden in fragmenten worden opgesplitst die onafhankelijk van elkaar worden versleuteld. Na voltooiing voegt de malware metadata toe aan de bestanden, zoals file-afmetingen en de publieke sleutel van het slachtoffer, waardoor herstel zonder de private sleutel van de aanvallers technisch onmogelijk is.

Bron 1

De cyberspionagegroep ToddyCat vormt een aanhoudende dreiging voor organisaties door het gericht compromitteren van Microsoft Exchange-servers. De activiteiten van deze groep begonnen in december 2020 met het exploiteren van servers in Azië. Sinds februari 2021 is de reikwijdte van de operaties aanzienlijk vergroot door het structureel misbruiken van de ProxyLogon-kwetsbaarheid, waardoor de aanvallers hun doelwitten nu op mondiale schaal selecteren, inclusief de Europese regio.

De werkwijze van de groep kenmerkt zich door een hoge mate van technische precisie. Er wordt gebruikgemaakt van diverse malwarevarianten, waaronder China Chopper web shells en de Samurai-backdoor, om toegang te verkrijgen en te behouden op gecompromitteerde systemen. De groep past haar instrumentarium continu aan; zo werden in 2024 nieuwe tools zoals TCESB ingezet, die specifiek zijn ontwikkeld om zwakheden in beveiligingssoftware te exploiteren.

Om langdurige toegang tot netwerken te garanderen, maakt ToddyCat gebruik van geplande taken binnen Windows voor de automatische uitvoering van datacollectietools. Hierbij worden PowerShell-commando's met bypass-vlaggen ingezet om de geldende beveiligingsvoorschriften van het besturingssysteem te omzeilen. Een specifieke methode die de groep hanteert, is de 'Bring Your Own Vulnerable Driver'-techniek. Door een kwetsbaar maar legitiem stuurprogramma, zoals DBUtilDrv2.sys, te installeren, kunnen de aanvallers kernelstructuren aanpassen en detectie vermijden. Daarnaast wordt DLL side-loading toegepast om kwaadaardige payloads uit te voeren binnen het kader van vertrouwde processen.

De activiteiten zijn in grote mate gericht op het stelen van inloggegevens. ToddyCat extraheert opgeslagen wachtwoorden uit het geheugen van browsers zoals Chrome, Firefox en Edge door bestanden zoals logins.json en Login Data systematisch te doorzoeken. Daarnaast worden OAuth-tokens van Microsoft 365-applicaties verzameld om toegang te verkrijgen tot cloudomgevingen. De verzamelde gegevens worden vervolgens met encryptie gecomprimeerd en via command-and-control-kanalen geëxfiltreerd.

Bron 1

Een nieuwe en geavanceerde phishingcampagne maakt gebruik van de vertrouwde infrastructuur van Google Cloud om beveiligingsfilters te omzeilen en inloggegevens van Microsoft 365-accounts te ontvreemden. De aanvallers misbruiken legitieme workflow-automatiseringstools om geloofwaardige e-mails op te stellen die moeilijk te onderscheiden zijn van authentieke zakelijke communicatie. Deze campagne richt zich specifiek op organisaties die intensief gebruikmaken van cloud-gebaseerde samenwerkingsplatforms.

De kern van de aanval wordt gevormd door het misbruik van Google Cloud Application Integration, een dienst die is ontworpen voor het automatiseren van bedrijfsprocessen. Aanvallers hanteren de functie voor het verzenden van e-mails binnen dit platform om berichten te versturen die afkomstig lijken te zijn van het officiële adres noreply-application-integration@google[.]com. Doordat deze berichten worden verzonden vanuit een geverifieerd Google-domein, passeren ze eenvoudig de meeste spamfilters. Het inherente vertrouwen dat gebruikers en systemen hebben in de infrastructuur van Google wordt hierbij direct ingezet om doelwitten te misleiden.

Onderzoekers hebben vastgesteld dat deze methode de barrière voor cybercriminelen verlaagt, mede omdat nieuwe Google Cloud-klanten vaak gratis kredieten ontvangen die voor dit soort kwaadaardige doeleinden worden aangewend. Wanneer de e-mail bij het slachtoffer aankomt, wordt deze gepresenteerd als een routineuze melding, zoals een bericht over een ontvangen voicemail of een verzoek om toestemming voor een document.

Het infectieproces verloopt in verschillende fasen om detectie door beveiligingssoftware te voorkomen. Na het klikken op de link in de e-mail wordt de gebruiker eerst naar een legitieme Google Cloud Storage-URL geleid. Vervolgens vindt er een omleiding plaats naar een ander officieel domein, googleusercontent[.]com, waar een CAPTCHA-controle moet worden uitgevoerd. Deze tussenstap dient om geautomatiseerde beveiligingsscanners te blokkeren die de uiteindelijke phishing-site zouden kunnen ontmaskeren.

Pas na het voltooien van de CAPTCHA wordt de gebruiker doorgeleid naar een nagemaakte inlogpagina van Microsoft 365. Hoewel deze pagina visueel identiek is aan de echte portal, worden hier de ingevoerde gebruikersnamen en wachtwoorden direct door de aanvallers onderschept. Google heeft bevestigd dat zij verschillende van deze campagnes hebben geblokkeerd en benadrukt dat dit misbruik voortkomt uit het verkeerd aanwenden van automatiseringstools en niet uit een beveiligingslek in de eigen infrastructuur. Experts adviseren om URL's nauwgezet te controleren en altijd multifactorauthenticatie toe te passen om de impact van gestolen inloggegevens te beperken.

Bron 1

Chinese dreigingsactoren hebben een campagne opgezet rondom de Android-malware Ghost Tap, software die specifiek is ontworpen om via Near Field Communication (NFC) financiële data te onderscheppen. De verspreiding vindt plaats via berichtendiensten zoals Telegram, waar de malware wordt aangeboden in de vorm van ogenschijnlijk legitieme applicaties, variërend van hulpprogramma's tot spellen.

De infectieketen start nadat de applicatie is geïnstalleerd en verzoekt om toegang tot de NFC-module van de smartphone. Wanneer deze rechten zijn verleend, monitort Ghost Tap op de achtergrond alle interacties. Indien een slachtoffer een betaalkaart tegen het geïnfecteerde toestel houdt, worden de kaartgegevens direct uitgelezen en doorgestuurd naar servers onder beheer van de aanvallers. Onderzoekers van Group-IB Threat Intelligence hebben vastgesteld dat deze onderschepte gegevens vervolgens worden ingezet om frauduleuze transacties uit te voeren via illegale betaalterminals of emulaties daarvan.

Uit de technische analyse van vierenvijftig unieke monsters blijkt dat de malware beschikt over een complex mechanisme om verwijdering tegen te gaan en persistentie op het toestel te garanderen. Ghost Tap registreert zich als een systeemservice en integreert diep in het NFC-framework van het Android-besturingssysteem. Hierdoor blijft de kwaadaardige code actief en operationeel, onafhankelijk van de oorspronkelijke drager-applicatie. Wanneer een gebruiker poogt de zichtbare app te verwijderen, maakt de malware gebruik van gecompromitteerde systeemprocessen om zichzelf automatisch opnieuw te installeren, waardoor het opschonen van het apparaat zonder specialistische ingrepen aanzienlijk wordt bemoeilijkt.

Bron 1

De zorgsector wordt geconfronteerd met de opkomst van de CrazyHunter-ransomware, een dreiging die specifiek is ontwikkeld om medische infrastructuren aan te vallen. Deze malware, geschreven in de programmeertaal Go, maakt gebruik van verfijnde methoden om beveiligingssoftware te omzeilen en vitale systemen te ontregelen. Hoewel de eerste incidenten zich concentreren op zorginstellingen in Taiwan, zijn de gebruikte technieken en de tactische opzet relevant voor de bredere cybersecurity-gemeenschap vanwege de hoge mate van automatisering en ontwijking.

De aanvalsketen van CrazyHunter begint bij de exploitatie van Active Directory, waarbij zwakke wachtwoorden van domeinaccounts als toegangspunt dienen. Na de initiële infiltratie verspreidt de ransomware zich door het netwerk via Group Policy Objects met behulp van de tool SharpGPOAbuse. Een kenmerkend aspect van de operatie is de 'bring-your-own-vulnerable-driver'-techniek. Hierbij wordt een legitiem maar kwetsbaar stuurprogramma van Zemana antimalware (versie 2.18.371.0) misbruikt om privileges te verhogen en actieve antivirusprocessen geforceerd te beëindigen. Door gebruik te maken van specifieke IOCTL-codes kan de malware beveiligingssystemen uitschakelen zonder direct alarm te slaan.

De versleutelingsmethode is gericht op een combinatie van snelheid en robuustheid. CrazyHunter hanteert het ChaCha20-stroomcijfer voor de dataversleuteling, maar past dit toe via een gedeeltelijk patroon waarbij één byte wordt versleuteld en de volgende twee bytes ongemoeid blijven. Deze 1:2-ratio versnelt het proces aanzienlijk en bemoeilijkt detectie door systemen die monitoren op afwijkende schijfactiviteit. Voor het sleutelbeheer wordt het Elliptic Curve Integrated Encryption Scheme (ECIES) ingezet. Voor elk bestand worden unieke cryptografische sleutels gegenereerd die vervolgens worden beveiligd met de publieke sleutel van de aanvallers, waardoor herstel zonder de bijbehorende private sleutel onmogelijk is.

Bestanden die door de ransomware zijn aangetast, krijgen de extensie .Hunter en bevatten een header met de versleutelde metadata die nodig is voor eventuele decryptie. De actoren achter deze dreiging maken gebruik van gestructureerde communicatiekanalen, waaronder Telegram en specifieke e-mailadressen, om de interactie met slachtoffers te beheren. De snelle ontwikkelingscyclus en de focus op sectoren waar systeemtoegankelijkheid cruciaal is, onderstrepen de noodzaak voor een nauwkeurige controle op kwetsbare drivers en de beveiliging van identiteitsbeheersystemen binnen netwerkomgevingen.

Bron 1

Een geavanceerde Windows-packer met de naam pkr_mtsi wordt ingezet in grootschalige malvertising-campagnes om verschillende malwarefamilies te verspreiden. Sinds de eerste waarneming op 24 april 2025 maakt deze dreiging gebruik van getrojaniseerde installatieprogramma's die zich voordoen als legitieme software zoals PuTTY, Rufus en Microsoft Teams. De distributie vindt plaats via kwaadaardige advertenties en gemanipuleerde zoekresultaten die gebruikers naar zorgvuldig nagemaakte downloadwebsites leiden.

De pkr_mtsi-packer dient als een algemene loader voor diverse soorten schadelijke software, waaronder Oyster, Vidar, Vanguard Stealer en Supper. Er is geen sprake van een infectie van de officiële distributiekanalen van de legitieme software; de aanvallers vertrouwen volledig op het misleiden van gebruikers via imitatieplatforms. Uit technisch onderzoek blijkt dat de packer de afgelopen acht maanden aanzienlijk is geëvolueerd, waarbij complexere verduisteringsmethoden en anti-analysetechnieken zijn geïntegreerd om detectie te voorkomen.

In de technische uitvoering wijst de packer geheugenregio's toe voor de volgende fase van de infectie. Terwijl vroege varianten hiervoor directe aanroepen naar VirtualAlloc gebruikten, hanteren recente versies verduisterde aanroepen naar ZwAllocateVirtualMemory. Payloads worden gereconstrueerd door ze in kleine blokken van één tot acht bytes te verdelen, die in de instructiestroom zijn opgeslagen. Bij nieuwere varianten worden deze blokken eerst gedecodeerd voordat ze naar specifieke geheugenlocaties worden geschreven. Bovendien is de methode voor het aanroepen van API-functies verschoven van platte tekst naar het gebruik van gehashte identifiers en het doorlopen van het Process Environment Block.

Om statische en gedragsanalyse te bemoeilijken, maakt de packer gebruik van een grote hoeveelheid functieloze aanroepen naar GDI API-functies. Hoewel deze bedoeld zijn om onderzoekers te hinderen, vormen ze tevens een herkenbaar patroon voor detectie. De packer is aangetroffen in zowel executable- als DLL-formaat. De DLL-varianten kunnen via DllRegisterServer en regsvr32.exe worden geladen, wat persistentie op een systeem mogelijk maakt. Een tussenliggende fase in het proces maakt vaak gebruik van een aangepaste UPX-module waarvan de headers en metadata zijn verwijderd om geautomatiseerde analyse verder te vertragen.

Bron 1

Twee kwaadaardige Chrome-extensies hebben de gegevens van meer dan 900.000 gebruikers gecompromitteerd door in het geheim gesprekken met ChatGPT en DeepSeek te exfiltreren. Onderzoekers van OX Security hebben vastgesteld dat deze malware niet alleen AI-conversaties buitmaakt, maar ook de volledige browsergeschiedenis van slachtoffers doorstuurt naar servers die onder controle staan van aanvallers. De malafide software doet zich voor als de legitieme AITOPIA AI-sidebar tool, waarbij één van de varianten zelfs tijdelijk de status van uitgelichte extensie wist te verkrijgen in de webwinkel van Google.

De betrokken extensies dragen de namen "Chat GPT for Chrome with GPT-5, Claude Sonnet & DeepSeek AI" en "AI Sidebar with Deepseek, ChatGPT, Claude and more". De eerste variant, herkenbaar aan extensie-ID fnmihdojmnkclgjpcoonokmkhjpjechg, heeft meer dan 600.000 gebruikers, terwijl de tweede variant met ID inhcgfpbfdjbjogdfjbclgolkmhnooop door ongeveer 300.000 mensen is geïnstalleerd. Beide extensies vragen gebruikers toestemming voor anonieme analyses om de diefstal van gegevens te maskeren. De infrastructuur achter deze operatie maakt gebruik van privacybeleid dat gehost wordt op externe platforms om de werkelijke oorsprong te verhullen. Wanneer een gebruiker een van de extensies verwijdert, wordt deze automatisch doorgestuurd naar de installatiepagina van de andere variant.

Technisch gezien opereren de extensies door tabbladen te monitoren via specifieke browser-API's en genereren ze een uniek identificatienummer per slachtoffer. Zodra de browser activiteit detecteert op domeinen zoals chatgpt.com of deepseek.com, wordt de inhoud van de webpagina uitgelezen. Dit omvat prompts, antwoorden van de AI en sessie-ID's. Deze gegevens worden eerst lokaal opgeslagen en vervolgens in batches elke dertig minuten verzonden naar command-and-control servers, waaronder deepaichats.com en chatsaigpt.com. De gestolen informatie wordt hierbij gecodeerd verstuurd om detectie te bemoeilijken.

De impact van deze datadiefstal is aanzienlijk, aangezien de buitgemaakte conversaties vaak vertrouwelijke informatie bevatten. Het gaat hierbij om bedrijfseigen programmacode, zakelijke strategieën, persoonlijk identificeerbare informatie en interne URL's. Naast de specifieke AI-chats wordt ook de algemene browsergeschiedenis verzameld, wat inzicht geeft in gewoonten en organisatiestructuren van de slachtoffers. Op 7 januari 2026 waren beide extensies nog steeds te downloaden, al was de speciale status van de grootste variant na de onthulling verwijderd.

Bron 1

Op diverse digitale platforms is melding gemaakt van de verspreiding van een nieuw infostealer-script dat is geschreven in de programmeertaal Python. De software werd op 6 januari 2026 gesignaleerd en wordt actief aangeboden via een specifiek kanaal op de berichtendienst Telegram. Het script is bedoeld voor het ongeautoriseerd verkrijgen van gevoelige informatie van computersystemen en wordt direct via een downloadlink voor gebruikers beschikbaar gesteld.

Hoewel het script wordt gepresenteerd als een modern hulpmiddel voor het ontfutselen van data, is er onder technische waarnemers discussie ontstaan over de werkelijke effectiviteit van de code. Uit eerste analyses blijkt dat de software mogelijk aanzienlijke technische beperkingen kent. Er wordt specifiek melding gemaakt van het onvermogen om moderne beveiligingsmechanismen in webbrowsers te omzeilen. Zo zou het script niet in staat zijn om de versleuteling van cookies te doorbreken of de zogeheten app-bound encryption van Chromium-gebaseerde browsers te passeren.

In de technische gemeenschap wordt de software gekenmerkt als een relatief eenvoudig script. Er wordt op gewezen dat de code mogelijk is gegenereerd met behulp van kunstmatige intelligentie of dat de opzet overeenkomsten vertoont met basale scripts die door minder ervaren actoren worden vervaardigd. Desondanks blijft de publieke beschikbaarheid van dergelijke kwaadaardige software op laagdrempelige platformen een relevant gegeven voor de monitoring van digitale dreigingen, aangezien het de toegankelijkheid tot schadelijke instrumenten vergroot.

De verspreiding van dit type malware via chatdiensten is een bekend fenomeen, waarbij dergelijke scripts soms onder het voorwendsel van educatieve doeleinden worden gedeeld. In dit specifieke geval wijst de feitelijke inhoud van de code echter op het doelgericht verzamelen van gebruikersgegevens. De werkelijke dreiging voor systemen die volledig zijn bijgewerkt met de meest recente beveiligingsupdates van softwareleveranciers wordt door experts momenteel als beperkt ingeschat vanwege de geconstateerde technische tekortkomingen in het script.

Een nieuwe ransomware-groepering, opererend onder de naam VECT, is geïdentificeerd op het dark web. De aanwezigheid van deze operator werd vastgesteld door middel van monitoring van digitale dreigingen, waarbij de activiteiten van de groep momenteel in kaart worden gebracht. De opkomst van een nieuwe actor in het ransomware-landschap markeert een uitbreiding van de bestaande dreigingen voor organisaties wereldwijd.

De eerste bevestigde actie van deze groepering richtte zich op een organisatie binnen de engineeringsector in Zuid-Afrika. Het incident bevestigt dat de groep over de operationele capaciteit beschikt om bedrijfssystemen aan te vallen en te compromitteren. Er wordt momenteel onderzoek gedaan naar de specifieke technische kenmerken en indicatoren die gepaard gaan met de werkwijze van VECT om de verdediging tegen deze dreiging te kunnen versterken.

Hoewel de eerste geregistreerde activiteiten van VECT gelokaliseerd zijn in Zuid-Afrika, is de detectie van een nieuwe ransomware-operator relevant voor de bredere cybersecurity-gemeenschap. Het monitoren van dergelijke opkomende groepen stelt experts in staat om vroegtijdig inzicht te krijgen in nieuwe aanvalsvectoren. De verzamelde informatie over deze groep is van belang voor het bijwerken van beveiligingsprotocollen en het verhogen van de digitale weerbaarheid van organisaties in diverse sectoren.

De stijging van cybercriminaliteit tijdens de feestdagen vormt een belangrijke indicator voor de veiligheidsrisico's waar bedrijven in het eerste kwartaal mee te maken krijgen. Hoewel waarschuwingen in de publieke sfeer vaak gericht zijn op individuele consumenten, zijn de gehanteerde tactieken fundamenteel gelijk aan de methoden die worden ingezet bij grootschalige zakelijke fraude. Voor organisaties die de overgang maken naar een nieuw boekjaar, bieden deze patronen een feitelijk inzicht in de risicoprofielen die zich in de eerste maanden van het jaar verder ontwikkelen.

Cybercriminele netwerken maken tijdens vakantieperiodes gebruik van specifieke omstandigheden, zoals een lagere bezetting op kritieke afdelingen en een algemene toename van het digitale transactieverkeer. De methodieken die worden gebruikt voor social engineering en phishing tegen consumenten worden daarbij aangepast voor de zakelijke markt om verificatieprocedures te omzeilen. Deze incidenten tijdens de seizoenspiek dienen vaak als een testfase voor de infrastructuur van aanvallers, waarna succesvolle methoden op grotere schaal worden uitgerold in het daaropvolgende kwartaal.

De continuïteit van deze dreigingen betekent dat de risico's niet verdwijnen na de feestdagen, maar transformeren naar meer gerichte operaties tegen het bedrijfsleven. De toegang die tijdens de drukke decembermaand onopgemerkt wordt verkregen in bedrijfssystemen, kan in de maanden daarna worden geëxploiteerd voor financieel gewin of datadiefstal. Experts wijzen erop dat de overgang van de vakantieperiode naar de start van het nieuwe jaar een cruciaal moment is voor het evalueren van de digitale weerbaarheid, aangezien de tijdens de piekperiode geconstateerde kwetsbaarheden een directe voorspeller zijn voor de aanvalstrends in de nabije toekomst.

Het monitoren van deze cyclische patronen is noodzakelijk voor een accurate risicoanalyse binnen de bedrijfsvoering. Het feit dat de onderliggende tactieken van consumentenfraude en zakelijke cyberaanvallen overeenkomen, maakt dat de waargenomen trends in de laatste maanden van het jaar een betrouwbare basis vormen voor preventieve strategieën in het eerste kwartaal. Het adresseren van deze patronen is essentieel om de escalatie van digitale dreigingen in de eerste fase van het kalenderjaar te beheersen.

Bron 1

De beveiliging van digitale infrastructuren steunt traditioneel zwaar op het detecteren en blokkeren van kwaadaardige bots. Hoewel deze focus noodzakelijk blijft vanwege de toenemende omvang en complexiteit van geautomatiseerde aanvallen, ontstaat er een nieuw beveiligingsrisico door het gebrek aan toezicht op legitiem botverkeer. Inmiddels bestaat meer dan de helft van het wereldwijde internetverkeer uit automatisering, waarbij een aanzienlijk deel wordt gevormd door bots met een nuttige functie.

Deze zogenoemde goede bots worden ingezet voor essentiële taken zoals het indexeren van webpagina’s voor zoekmachines en het monitoren van de beschikbaarheid van systemen. In de praktijk blijkt echter dat beveiligingsteams vaak zeer beperkt zicht hebben op het specifieke gedrag van deze legitieme bots. Dit gebrek aan transparantie zorgt ervoor dat dit type verkeer een blinde vlek vormt binnen de cybersecuritystrategie van veel organisaties.

Het risico schuilt in het feit dat legitieme bots vaak ongehinderd toegang krijgen tot netwerken, terwijl hun acties niet nauwgezet worden geanalyseerd. Deze situatie kan leiden tot kwetsbaarheden waarbij kwaadwillenden misbruik maken van de vertrouwde status van dergelijke automatisering. Daarnaast kan ongecontroleerd legitiem botverkeer onbedoeld de stabiliteit van netwerkverbindingen beïnvloeden. Gezien de groeiende afhankelijkheid van automatisering voor gegevensuitwisseling en procesoptimalisatie, is een scherper beheer van al het geautomatiseerde verkeer noodzakelijk om de integriteit van digitale systemen te kunnen garanderen.

Bron 1

Beveiligingsbedrijf VIPRE heeft een rapport gepubliceerd waarin wordt gewaarschuwd voor ingrijpende veranderingen in het digitale dreigingslandschap gedurende 2026. De organisatie voorziet een situatie waarin de offensieve capaciteiten van cybercriminelen de huidige defensieve maatregelen dreigen te overtreffen. De kern van deze dreiging wordt gevormd door de opkomst van AI-native malware, een toename in geavanceerde deepfake-fraude en een piek in aanvallen op het Internet of Things.

Een belangrijke bevinding in de analyse is de evolutie van kwaadaardige software naar AI-native varianten. Waar kunstmatige intelligentie voorheen voornamelijk werd ingezet als hulpmiddel bij het schrijven van code, fungeert het nu als de motor van de malware zelf. Deze nieuwe generatie dreigingen is in staat om autonoom te opereren en zich in real-time aan te passen aan de omgeving waarin het zich bevindt. Door deze adaptieve eigenschappen kunnen beveiligingsprotocollen en detectiesystemen effectiever worden omzeild dan bij traditionele, statische malware het geval is.

Parallel aan de technische complexiteit van malware, waarschuwt het rapport voor de groeiende dreiging van deepfake-technologie. De drempel voor het creëren van overtuigende audio- en videomanipulaties is verlaagd, wat leidt tot een toename van fraude-incidenten. Deze technieken worden specifiek ingezet om authenticatieprocessen te ondermijnen en identiteitsfraude te plegen. De betrouwbaarheid van digitale communicatie komt hierdoor verder onder druk te staan, aangezien het verifiëren van de identiteit van een gesprekspartner steeds complexer wordt.

De derde component in de waarschuwing betreft de veiligheid van slimme apparatuur. Door de voortdurende integratie van het Internet of Things in zowel zakelijke als particuliere netwerken, is het aanvalsoppervlak aanzienlijk vergroot. VIPRE voorziet een stijging in aanvallen die zich specifiek richten op deze vaak minder goed beveiligde endpoints. In reactie op dit escalerende dreigingsniveau scherpen toezichthouders wereldwijd de regelgeving rondom kunstmatige intelligentie aan. Hoewel deze juridische kaders bedoeld zijn om risico's te beperken, blijft de snelheid waarmee de aanvalstechnieken zich ontwikkelen een uitdaging voor de naleving en handhaving van deze nieuwe regels.

Bron 1

Analyses van cyberbeveiligingsincidenten tonen aan dat de dreigingsactor Storm-0249 op systematische wijze legitieme systeembeheertools en beveiligingssoftware manipuleert. De groepering opereert als een schakel in de keten van ransomware-aanvallen door zich te specialiseren in het verkrijgen van toegang tot bedrijfsnetwerken. Deze toegang wordt vervolgens overgedragen aan uitvoerende ransomware-groepen. De methodiek van Storm-0249 kenmerkt zich door het gebruik van vertrouwde Windows-componenten, waardoor kwaadaardige activiteiten versluierd worden binnen regulier netwerkverkeer en legitieme systeemprocessen.

De infiltratie begint veelal via methoden waarbij legitieme systeemfunctionaliteiten door de gebruiker zelf worden geactiveerd. Een specifieke techniek die hierbij wordt gehanteerd, is het misleiden van gebruikers om opdrachten uit te voeren in de opdrachtprompt of het uitvoervenster van Windows. Deze opdrachten maken gebruik van standaard aanwezige tools zoals PowerShell en curl om aanvullende scripts op te halen en uit te voeren. Omdat deze processen door het besturingssysteem als vertrouwd worden aangemerkt, blijven ze vaak buiten het bereik van standaard beveiligingsfilters die gericht zijn op het blokkeren van onbekende bestanden.

Zodra de initiële toegang is verkregen, richt Storm-0249 zich op het verzamelen van specifieke systeemgegevens en het escaleren van toegangsrechten. Hierbij worden hulpprogramma's ingezet die standaard onderdeel zijn van het Windows-ecosysteem. Door deze 'living-off-the-land'-tactiek te combineren met het misbruiken van kwetsbaarheden in of het omzeilen van beveiligingssoftware, kan de actor onopgemerkt verbindingen tot stand brengen met externe servers. Deze verbindingen dienen voor het handhaven van de toegang en het voorbereiden van de uiteindelijke inzet van gijzelsoftware door derden.

De actor maakt gebruik van infrastructuur die qua naamgeving nauw aansluit bij legitieme clouddiensten en software-updates. Hierdoor wordt de detectie van communicatie met de beheerservers bemoeilijkt. De verkregen netwerktoegang wordt door Storm-0249 gestabiliseerd en vervolgens beschikbaar gesteld aan andere criminele entiteiten. Dit proces faciliteert een verdeling van taken binnen de cybercriminaliteit, waarbij de focus van deze specifieke actor volledig ligt op het kraken en ontsluiten van de digitale omgeving zonder direct zelf over te gaan tot datadversleuteling of afpersing.

Bron 1

De SafePay-ransomware veroorzaakt aanzienlijke operationele schade bij kleinere organisaties. Uit analyse van gelekte gegevens blijkt dat meer dan 90 procent van de slachtoffers van deze ransomware-variant afkomstig is uit het midden- en kleinbedrijf. Deze data wijzen op een specifieke focus van de aanvallers op bedrijven met een beperktere omvang die operationeel sterk afhankelijk zijn van hun IT-infrastructuur.

De impact van de SafePay-aanvallen op deze sector is groot, mede omdat veel incidenten niet publiekelijk worden gerapporteerd. De ransomware slaagt erin om de bedrijfsvoering van deze firma's op discrete wijze te verstoren. Omdat veel van deze aanvallen nooit officieel worden bekendgemaakt, blijft de volledige schaal van de problematiek voor de buitenwereld vaak onzichtbaar, terwijl de getroffen ondernemingen kampen met de gevolgen van de versleuteling en het dataverlies.

De huidige gegevens over de werkwijze van SafePay bevestigen dat de groep zich consequent richt op doelwitten in regio's met een hoog bruto binnenlands product en strikte privacyregelgeving, zoals Noord-Amerika en West-Europa. De focus ligt hierbij op organisaties die essentieel zijn voor de economische infrastructuur, maar die individueel minder vaak in de schijnwerpers staan. De informatie over deze gerichte aanvallen op het MKB is afkomstig uit recente analyses van lekken die de strategie van de ransomware-groep blootleggen.

Bron 1

De telecommunicatiesector vormt een essentieel onderdeel van de nationale infrastructuur en heeft ook in 2025 te maken gehad met aanhoudende dreigingen van diverse cyberactoren. Uit het Telecommunications Sector Threat Landscape Report 2025 van Cyble blijkt dat de industrie in het vizier is gebleven van zowel ransomware-groeperingen als actoren die opereren vanuit statelijke belangen.

De aanhoudende focus op deze sector wordt veroorzaakt door een samenloop van risicofactoren. De aanwezigheid van grote hoeveelheden waardevolle abonneegegevens, gecombineerd met de geopolitieke relevantie van de infrastructuur, maakt telecombedrijven tot aantrekkelijke doelwitten. Daarnaast speelt de complexiteit van de digitale ecosystemen binnen de sector een rol bij het vergroten van het aanvalsoppervlak.

Het rapport stelt vast dat deze elementen ervoor hebben gezorgd dat de telecommunicatie-industrie een permanent brandpunt is voor een breed spectrum aan dreigingsactoren. Naast financieel gemotiveerde criminelen en statelijke actoren, wordt de sector eveneens bedreigd door groeperingen die handelen vanuit ideologische motieven. De bevindingen onderstrepen de noodzaak voor de sector om rekening te houden met deze gevarieerde en persistente dreigingen.

Bron 1

De identificatie van kwaadaardige software op computersystemen is veelal afhankelijk van gesloten softwarepakketten. Bij dergelijke propriëtaire applicaties is de broncode niet inzichtelijk, wat de onafhankelijke verificatie van de werking en de veiligheid van de scanprocessen bemoeilijkt. Open-source initiatieven beogen dit gebrek aan transparantie te adresseren door tools aan te bieden waarvan de volledige code publiekelijk controleerbaar is.

Een recent voorbeeld van een dergelijk instrument is Ghost, een beveiligingstool ontwikkeld door pandaadir05 en gepubliceerd op GitHub. De software is ontworpen om systemen te controleren op de aanwezigheid van infecties door middel van de analyse van actieve processen. De tool is geschreven in de programmeertaal Rust, wat bijdraagt aan de efficiëntie en veiligheid van de uitvoering op verschillende platformen, waaronder Windows, Linux en macOS.

Ghost richt zich op het detecteren van specifieke indicatoren van malware-activiteit die door standaard antivirusoplossingen over het hoofd gezien kunnen worden. Dit omvat onder meer de identificatie van verdachte geheugenregio's, het herkennen van bekende shellcode-patronen en het monitoren van technieken zoals process hollowing en API-hooking. De software biedt een terminal-gebaseerde interface waarmee gebruikers real-time inzicht krijgen in actieve systeemprocessen en mogelijke afwijkingen daarin.

Hoewel de tool effectief is in het opsporen van diverse vormen van procesmanipulatie in de gebruikersomgeving, kent de software technische grenzen. Omdat Ghost opereert binnen de userspace, is het niet in staat om kernel-level rootkits te detecteren die zich op een dieper niveau van het besturingssysteem bevinden. De tool dient daarom te worden beschouwd als een aanvullend instrument voor systeemdiagnostiek en malware-detectie.

Bron 1

Het Amerikaanse cyberagentschap CISA heeft gewaarschuwd dat er momenteel actief misbruik wordt gemaakt van een kritieke kwetsbaarheid in HPE OneView. Dit beveiligingslek stelt kwaadwillenden in staat om volledige controle te krijgen over de IT-infrastructuur van organisaties. De kwetsbaarheid is geregistreerd onder de code CVE-2025-37164 en heeft de maximale ernstscore van 10.0 toegekend gekregen.

Het betreft een probleem dat remote code execution mogelijk maakt, waardoor aanvallers op afstand en zonder authenticatie willekeurige code kunnen uitvoeren. Hewlett Packard Enterprise bracht op 16 december jongstleden reeds een beveiligingsupdate uit om dit probleem te verhelpen. Bij de publicatie van deze patch was er nog geen sprake van vastgesteld misbruik in de praktijk, maar die status is nu gewijzigd.

HPE OneView wordt ingezet voor het beheer van fysieke infrastructuur, waaronder servers, opslag en netwerkvoorzieningen. Beveiligingsexperts waarschuwen dat een succesvolle aanval via dit lek desastreuze gevolgen kan hebben. Het risico beperkt zich niet tot het uitvoeren van code, maar omvat het verkrijgen van grootschalige controle over servers, firmware en het lifecycle management van de omgeving. Omdat beheerplatforms zoals OneView diep in het netwerk zijn gepositioneerd en over uitgebreide systeemrechten beschikken, is de impact bij een inbraak aanzienlijk.

Gezien de positie van deze systemen en het feit dat monitoring op dit beheerniveau vaak minimaal is, adviseren onderzoekers om deze kwetsbaarheid te behandelen als een scenario waarbij men er vanuit gaat dat er reeds is ingebroken. Het advies aan systeembeheerders is om de update onmiddellijk te installeren en logboeken te controleren op verdachte activiteiten. Amerikaanse overheidsinstanties zijn inmiddels door CISA opgedragen om de update binnen drie weken te implementeren.

Bron 1

De Amerikaanse opsporingsdienst FBI heeft een officiële waarschuwing gepubliceerd over het gebruik van QR-codes bij phishingaanvallen, een methode die ook wel quishing wordt genoemd. Uit een nieuwe FLASH-alert blijkt dat een door Noord-Korea gesteunde groep deze techniek hanteert om toegang te krijgen tot systemen van organisaties. De aanvallers versturen phishingmails met QR-codes die de ontvanger leiden naar vervalste vragenlijsten, zogenaamde beveiligde schijven en nagemaakte inlogpagina's van Google.

De FBI stelt dat deze aanvalsvorm specifiek is ontworpen om beveiligingsmaatregelen op werkstations te omzeilen. Wanneer een medewerker de phishingmail op een computer ontvangt maar de QR-code met een smartphone scant, verplaatst de interactie zich naar een onbeheerd mobiel apparaat. Deze apparaten vallen doorgaans buiten het zicht van Endpoint Detection and Response (EDR) en andere zakelijke netwerkbeveiliging. Hierdoor wordt quishing geclassificeerd als een methode die effectief kan zijn in het omzeilen van multifactorauthenticatie (MFA) binnen bedrijfsomgevingen.

Tijdens het scanproces wordt de gebruiker via tussenstations (redirectors) naar de uiteindelijke bestemming geleid. In deze fase verzamelt de aanvalsgroep technische informatie over het apparaat van het slachtoffer, zoals het IP-adres, het besturingssysteem, de taalinstellingen en de schermgrootte. Met deze gegevens wordt een specifiek op de smartphone afgestemde phishingpagina getoond die visueel overeenkomt met legitieme inlogportalen van bijvoorbeeld Microsoft 365, Okta of VPN-voorzieningen.

Om deze dreiging het hoofd te bieden, adviseert de FBI organisaties om een meerlaagse beveiligingsstrategie te hanteren. Belangrijke onderdelen hiervan zijn het trainen van personeel in het herkennen van social engineering via QR-codes en het opzetten van protocollen voor het melden van verdachte incidenten. Daarnaast wordt aangeraden om de herkomst van QR-codes te controleren via een secundair kanaal en om verhoogde monitoring toe te passen op inlogpogingen en netwerkactiviteiten die volgen op het scannen van een QR-code.

Bron 1

De cybercrimegroepering Black Cat is geïdentificeerd als de actor achter een grootschalige campagne waarbij gebruik wordt gemaakt van search engine optimization (SEO) poisoning. Door zoekresultaten in zoekmachines zoals Microsoft Bing te manipuleren, worden gebruikers naar malafide pagina's geleid die zich voordoen als officiële downloadlocaties voor veelgebruikte software, waaronder Google Chrome, Notepad++, WinSCP en iTools. Uit technische analyses van CNCERT/CC en ThreatBook blijkt dat tussen 7 en 20 december 2025 circa 277.800 hosts zijn gecompromitteerd, met een dagelijkse piek van ruim 62.000 infecties.

De aanvalsketen maakt gebruik van domeinen die legitieme bronnen nabootsen, zoals cn-notepadplusplus.com, https://www.google.com/search?q=cn-obsidian.com en notepadplusplus.cn. Wanneer een gebruiker op een dergelijke site een download initieert, vindt een omleiding plaats naar een URL die het GitHub-platform imiteert. Het hier aangeboden ZIP-archief bevat een installer die een snelkoppeling op het bureaublad van het slachtoffer plaatst. Deze snelkoppeling fungeert als entry point voor het side-loaden van een kwaadaardig DLL-bestand, waarna een backdoor op het systeem wordt geïnstalleerd zonder directe detectie door de gebruiker.

Na de infectie brengt de malware een verbinding tot stand met een hard-coded command-and-control server (https://www.google.com/search?q=sbido.com:2869). De achterdeur is geconfigureerd voor spionageactiviteiten, waaronder het stelen van browsergegevens, het registreren van toetsaanslagen en het extraheren van data van het klembord. Black Cat, actief sinds ten minste 2022, richtte zich eerder op cryptodiefstal via imitaties van handelsplatformen. De huidige modus operandi bevestigt het aanhoudende risico van malafide zoekresultaten als distributiemethode voor info-stealers en remote access trojans.

Bron 1, 2

Onderzoekers hebben een nieuwe malwarecampagne geïdentificeerd waarbij de Astaroth-bankentrojans, ook bekend onder de naam Guildma, worden verspreid via WhatsApp. De methode wijkt af van traditionele distributievormen door gebruik te maken van een worm-functionaliteit die specifiek is ontworpen om Windows-gebruikers te infecteren via de populaire berichtendienst.

De aanvalsketen wordt in gang gezet door een ZIP-archief dat via een WhatsApp-bericht wordt verzonden. Dit archief bevat een Visual Basic Script dat, eenmaal uitgevoerd door de gebruiker, de download van aanvullende kwaadaardige componenten initieert. De architectuur van deze malware is modulair; terwijl de kern van de trojan in Delphi is geschreven, is de module voor automatische verspreiding volledig ontwikkeld in Python.

De werking van de malware is verdeeld in twee primaire processen:

• Propagatie: Een module verzamelt de contactlijst van het slachtoffer en stuurt autonoom het schadelijke ZIP-bestand door naar alle aanwezige contacten. Dit proces stelt de malware in staat om zich snel te verspreiden binnen vertrouwde kringen, waarbij de verzendstatistieken in realtime door de aanvallers worden gemonitord.
• Diefstal van gegevens: Een bankenmodule monitort op de achtergrond de webbrowsing-activiteiten. Zodra een gebruiker een URL bezoekt die gerelateerd is aan bankzaken, wordt de module actief om inloggegevens te oogsten en financiële transacties te onderscheppen.

Hoewel de campagne momenteel een sterke geografische focus heeft op Brazilië, waar meer dan 95 procent van de infecties is waargenomen, is de onderliggende techniek platform-afhankelijk en niet gebonden aan een specifieke regio. Het gebruik van multi-language componenten en de automatisering via sociale berichtendiensten markeert een significante ontwikkeling in de verspreiding van financiële malware.

Bron 1

Onderzoekers hebben een phishingtechniek geïdentificeerd waarbij QR-codes niet als afbeelding, maar als HTML-tabel worden verzonden. Deze methode is specifiek ontwikkeld om e-mailbeveiligingssystemen te omzeilen die getraind zijn op het scannen van grafische bestanden. Door de code op te bouwen uit tekstuele HTML-elementen, blijft de kwaadaardige lading onzichtbaar voor filters die alleen zoeken naar verdachte afbeeldingen of bijlagen. De campagne werd tussen 22 en 26 december waargenomen in het wereldwijde e-mailverkeer.

De technische uitvoering van deze aanval berust op een matrix van honderden kleine tabelcellen met een omvang van vier bij vier pixels. Door elke cel via broncode te voorzien van een zwarte of witte achtergrondkleur, ontstaat een visueel scanbare QR-code zodra de e-mailclient de tekst rendert. Omdat er geen sprake is van een feitelijk afbeeldingsbestand, herkennen veel gangbare inspectie-engines de aanwezigheid van een QR-code niet. Voor de beveiligingssoftware lijkt de e-mail enkel standaard opmaakcode te bevatten, wat de kans op aflevering in de inbox van het slachtoffer vergroot.

Zodra een gebruiker de gegenereerde code scant, vindt er een doorverwijzing plaats naar subdomeinen van de malafide URL-structuur lidoustoo[.]click. Om de kans op succes te verhogen, passen aanvallers de landingspagina's dynamisch aan door de domeinnaam van de ontvanger in het URL-pad te integreren. Uit analyses blijkt dat effectieve verdediging tegen deze techniek vraagt om een verschuiving in e-mailinspectie. Beveiligingssystemen moeten in staat zijn om dichte rasters van tabelcellen te identificeren als grafische patronen en deze te controleren op externe redirects naar verdachte domeinen.

Bron 1

Onderzoekers hebben een methode geïdentificeerd waarmee kwaadaardige processen volledig onzichtbaar kunnen blijven voor systeembeheertools zoals Taakbeheer en Process Hacker. Deze techniek omzeilt de ingebouwde beveiliging van Windows, waaronder Kernel Patch Protection (PatchGuard), door gebruik te maken van specifieke timingverschillen tijdens het beëindigen van processen. Hierdoor kan malware actief blijven op een systeem zonder dat beveiligingssoftware of beheerders de aanwezigheid ervan via de standaard proceslijsten kunnen waarnemen.

De werking van deze methode is gebaseerd op de manipulatie van de ActiveProcessLinks, een dubbel verbonden lijst binnen de EPROCESS-structuur van de Windows-kernel. Windows gebruikt deze lijst om alle actieve processen bij te houden. Door de pointers in deze lijst aan te passen, kan een proces uit de keten worden ontkoppeld. Hoewel het proces blijft draaien, wordt het overgeslagen door tools die de lijst scannen. Voorheen veroorzaakte deze handeling een systeemcrash zodra het verborgen proces werd afgesloten, omdat de functie PspProcessDelete de integriteit van de lijst controleert en bij inconsistenties een Blue Screen of Death genereert.

De nieuwe benadering omzeilt dit stabiliteitsprobleem door gebruik te maken van de legitieme API-functie PsSetCreateProcessNotifyRoutineEx. Deze functie stelt stuurprogramma's in staat om meldingen te ontvangen over de status van processen. Een kwaadaardig stuurprogramma kan deze melding gebruiken om de ontkoppelde lijstverbindingen exact op het juiste moment te herstellen: na de onzichtbare uitvoering, maar vlak voordat de integriteitscontrole van de kernel wordt uitgevoerd. Hierdoor lijkt de datastructuur op het cruciale moment van controle weer intact, waardoor het systeem geen corruptie detecteert.

Omdat deze aanvalsmethode zich richt op het wijzigen van dynamische datastructuren in het geheugen en niet op het aanpassen van beveiligde kernelcode, bieden mechanisimen zoals Hypervisor-Enforced Code Integrity (HVCI) geen directe bescherming. De techniek vereist echter wel privileges op kernelniveau en een digitaal ondertekend stuurprogramma om te kunnen functioneren. De ontdekking toont aan dat aanvallers geraffineerde manieren blijven vinden om binnen de kaders van moderne beveiligingsarchitecturen te opereren door de interne logica van het besturingssysteem tegen zichzelf te gebruiken.

Bron 1

AuraStealer is een Malware-as-a-Service (MaaS) die specifiek is ontwikkeld om Windows-systemen te infecteren, variërend van Windows 7 tot en met Windows 11. De malware verspreidt zich hoofdzakelijk via misleidende campagnes op sociale media, waaronder TikTok. Gebruikers worden door middel van tutorial-video's verleid om PowerShell-commando's uit te voeren die zogenaamd bedoeld zijn voor de gratis activatie van betaalde software. In werkelijkheid leiden deze acties tot de installatie van de infostealer. De malware is geschreven in C++, heeft een omvang tussen de 500 en 700 KB en wordt aangeboden via een abonnementsmodel voor bedragen tussen de 295 en 585 dollar per maand.

De malware is ontworpen om op grote schaal gevoelige informatie te ontvreemden. Het systeem richt zich op gegevens van meer dan 110 verschillende webbrowsers, 70 applicaties — waaronder cryptovaluta-wallets en tools voor tweestapsverificatie — en ruim 250 browserextensies. Naast inloggegevens en cookies verzamelt AuraStealer ook sessietokens van platformen zoals Discord, Telegram en Steam, evenals wachtwoorddatabases, VPN-configuraties en schermafbeeldingen. De infectieketen kan variëren van eenvoudige uitvoerbare bestanden tot complexe processen waarbij gebruik wordt gemaakt van DLL-sideloading en custom loaders.

Om detectie door beveiligingssoftware en analisten te bemoeilijken, beschikt AuraStealer over uitgebreide anti-analysemethoden. Voordat de diefstal begint, voert de malware geolocatiecontroles uit; systemen in GOS-landen en de Baltische staten worden overgeslagen. Daarnaast controleert de software op de aanwezigheid van virtuele omgevingen door de hardwareconfiguratie te inspecteren, waarbij een minimum van vier processors of 200 actieve processen wordt vereist. Indien de malware direct wordt uitgevoerd zonder extra beschermingslagen, verschijnt er een dialoogvenster dat handmatige interactie vereist, wat geautomatiseerde sandbox-analyses blokkeert.

Op technisch niveau past de malware geavanceerde obfuscatietechnieken toe. De programmastructuur maakt gebruik van indirecte control-flow, waarbij sprongadressen pas tijdens runtime worden berekend om statische analyse te verstoren. Een specifieke methode is de 'exception-driven API hashing', waarbij opzettelijk runtime-fouten worden gegenereerd om via een aangepaste exception-handler systeemfuncties aan te roepen. Strings in de code zijn versleuteld met stack-based XOR-encryptie en de integriteit van de malware wordt bewaakt via checksum-controles in de bestandskop. Hoewel de malware complex is opgezet, bieden bepaalde ontwerpfouten mogelijkheden voor detectie door gespecialiseerde beveiligingssystemen.

Bron 1

Een nieuwe aanvalsmethode genaamd ConsentFix maakt misbruik van legitieme OAuth-authenticatieprocessen om autorisatiecodes binnen Microsoft Entra-omgevingen te onderscheppen. Deze techniek stelt aanvallers in staat om toegang te verkrijgen tot cloudsystemen zonder direct op te vallen bij gangbare beveiligingscontroles. De methode is een verdere ontwikkeling van eerdere technieken en richt zich specifiek op het misbruiken van de vertrouwensrelatie tussen gebruikers en legitieme Microsoft-applicaties zoals de Azure CLI en Azure Resource Manager.

De aanvalsketen start bij het versturen van een kwaadaardige inlog-URL naar een slachtoffer. Wanneer de gebruiker op deze link klikt en zich authenticeert met geldige inloggegevens, wordt de OAuth 2.0-autorisatiestroom geactiveerd. Na een succesvolle aanmelding wordt de browser van de gebruiker omgeleid naar een lokaal adres. Omdat er op dat specifieke adres geen actieve service luistert, genereert de browser een foutmelding. De gevoelige autorisatiecode blijft echter aanwezig in de redirect-URL van de foutpagina. De aanvallers manipuleren de gebruiker vervolgens om deze informatie via drag-and-drop-functionaliteit te kopiëren, waardoor de code in handen van de kwaadwillende partij komt.

Onderzoek van Glueck Kanja wijst uit dat deze methode effectief is in het omzeilen van Conditional Access-beleid en apparaatnalevingscontroles. Omdat de gebruiker de initiële inlogprocedure zelf voltooit, wordt de toegang door het systeem in eerste instantie als legitiem beschouwd. De gestolen autorisatiecode kan vervolgens door de aanvaller vanaf een externe locatie worden ingewisseld voor toegangstokens, waarmee volledige toegang tot de cloudbronnen van het slachtoffer wordt verkregen.

Voor detectie door beveiligingsteams zijn de Azure-aanmeldingslogboeken van essentieel belang. Een ConsentFix-aanval is herkenbaar aan twee gekoppelde gebeurtenissen binnen een tijdspanne van maximaal tien minuten, de periode waarin een autorisatiecode geldig blijft. De eerste gebeurtenis is de interactieve aanmelding van het slachtoffer vanaf diens eigen locatie. De tweede gebeurtenis is een niet-interactieve aanmelding vanaf de infrastructuur van de aanvaller, waarbij de gestolen code wordt gebruikt. Door sessie-ID's en applicatie-ID's te correleren en te controleren op afwijkende IP-adressen binnen dezelfde sessie, kunnen dergelijke inbreuken worden geïdentificeerd.

Bron 1

Een nieuwe golf van phishingaanvallen maakt gebruik van vervalste DocuSign-notificaties om geavanceerde malware op Windows-systemen te installeren. Deze e-mails zijn ontworpen om de officiële huisstijl van DocuSign nauwkeurig na te bootsen, waarbij ontvangers worden aangespoord om een zogenaamd openstaande overeenkomst te beoordelen. Gebruikers die op de bijgevoegde link klikken, worden naar een webpagina geleid die fungeert als een toegangspoort. Op deze pagina wordt gevraagd om een toegangscode in te voeren voordat het document kan worden bekeken. Deze methode is specifiek bedoeld om het vertrouwen van het slachtoffer te winnen en om geautomatiseerde beveiligingsscanners en sandboxes te omzeilen, aangezien deze systemen de benodigde code niet kennen en de kwaadaardige inhoud daardoor niet direct kunnen analyseren.

Achter de schermen wordt een script uitgevoerd dat bepaalt welke volgende fase van de aanval wordt ingezet. Dit resulteert vaak in het downloaden van een bestand dat zich voordoet als een onschadelijk PDF-document of een gecomprimeerd contractbestand. Onderzoekers hebben vastgesteld dat de malware gebruikmaakt van tijdsgebonden controles en complexe inpakmethoden om detectie te voorkomen. Zodra het binnengehaalde bestand wordt geopend, lanceert een script of macro een PowerShell-commando. Dit commando haalt vervolgens de eigenlijke payload op van een externe server die onder controle staat van de aanvallers. Om detectie door beveiligingsregels te vermijden, wordt er gebruikgemaakt van lange, verhulde tekenreeksen en gecodeerde blokken.

De infectieketen zet zich voort door een component direct in het computergeheugen te laden. Dit proces wordt vaak uitgevoerd als een subproces van een vertrouwd Windows-proces, zoals explorer.exe, waardoor de kwaadaardige activiteit verborgen blijft voor standaard endpointbeveiliging. De malware nestelt zich in het systeem door middel van lichte persistentie-technieken, zoals het toevoegen van een registersleutel of het aanmaken van een geplande taak die het script periodiek opnieuw aanroept met een nieuwe toegangscode. Omdat de belangrijkste activiteiten in het werkgeheugen plaatsvinden en gebruikmaken van vertrouwde processen, zijn gedetailleerde logbestanden en netwerkmonitoring noodzakelijk voor het identificeren van deze specifieke aanvalsvorm. De doelwitten van deze campagne variëren van kleine ondernemingen tot grote wereldwijde organisaties.

Bron 1

Een nieuwe malwarevariant, ontwikkeld op basis van PowerShell, wordt momenteel aangeboden op online handelsplaatsen voor cybercriminaliteit. De dreigingsactor, bekend onder de gebruikersnaam UnknownUser, claimt dat deze kwaadaardige software beschikt over een combinatie van drie specifieke functies: een keylogger, een clipper en mogelijkheden voor het maken van schermafbeeldingen. Het programma is ontworpen om onopgemerkt gegevens te ontvreemden van geïnfecteerde systemen.

De clipper-functionaliteit van deze malware is specifiek gericht op gebruikers van cryptovaluta. Wanneer een slachtoffer een wallet-adres naar het klembord kopieert, herkent de software dit patroon en vervangt het adres onmiddellijk door een adres van de aanvaller. Dit proces, ook wel clipboard hijacking genoemd, is geprogrammeerd voor diverse digitale valuta, waaronder Bitcoin, Monero, Ethereum, Dash, Solana, Bitcoin Cash en TRX. Hierdoor worden betalingen tijdens het uitvoeren van een transactie omgeleid zonder dat de gebruiker dit direct opmerkt.

Daarnaast fungeert de malware als een keylogger die alle toetsaanslagen op het systeem registreert en opslaat. Deze informatie wordt, samen met de data van het klembord, geëxfiltreerd naar een externe Command and Control-server (C2). De software beschikt tevens over de capaciteit om op gezette tijden schermafbeeldingen van de computer te maken en achtergrondactiviteiten vast te leggen, waardoor de aanvaller een visueel overzicht krijgt van de handelingen van het slachtoffer.

Het gebruik van PowerShell voor de ontwikkeling van deze malware is een bewuste keuze, aangezien dit legitieme raamwerk voor taakautomatisering vaak aanwezig is op Windows-systemen en door beveiligingssoftware soms minder streng wordt gecontroleerd. De aanbieder heeft vooralsnog geen technische samples vrijgegeven om de beweringen onafhankelijk te staven, maar biedt het pakket aan voor een bedrag van 680 dollar. De dreiging onderstreept het voortdurende risico van diefstal van inloggegevens en financiële activa via gespecialiseerde scripts.

Onderzoekers hebben een nieuwe campagne waargenomen waarbij malware wordt verspreid via gemanipuleerde installatiebestanden van de populaire software WinRAR. De ontdekking volgde nadat er op diverse Chinese websites links naar deze specifieke bestanden werden aangetroffen. Het gelijktijdig verschijnen van deze links op meerdere platformen wordt gezien als een sterke indicator voor de start van een nieuwe verspreidingscampagne. WinRAR wordt wereldwijd veelvuldig gebruikt en vaak gedownload via niet-officiële bronnen, wat de software een aantrekkelijk doelwit maakt voor dergelijke misbruiktechnieken.

Uit technische analyse van het gedownloade bestand blijkt dat de malware is opgebouwd uit complexe lagen, wat door analisten wordt vergeleken met een Matryoshka-pop. De aanvalstechniek bevindt zich achter een ogenschijnlijk legitiem installatieprogramma. Dit betekent dat wanneer een gebruiker het bestand uitvoert, de verwachte WinRAR-software daadwerkelijk wordt geïnstalleerd of getoond, terwijl de kwaadaardige code verborgen blijft en op de achtergrond actief wordt.

De structuur van de malware, waarbij laag na laag moet worden afgepeld tijdens analyse, is ontworpen om detectie te bemoeilijken. Doordat de aanvallers gebruikmaken van een functionerende 'wrapper' rondom de malware, wordt getracht het vertrouwen van de gebruiker te winnen en beveiligingscontroles te omzeilen. De verspreiding richt zich specifiek op gebruikers die op zoek zijn naar de software buiten de geautoriseerde distributiekanalen om.

Bron 1

De methodiek achter de creatie van malware verschuift steeds meer naar het gebruik van generatieve kunstmatige intelligentie, een proces dat ook wel vibe coding wordt genoemd. Uit technische analyses blijkt dat cybercriminelen deze technologie inzetten om ransomware te genereren zonder dat daar diepgaande handmatige programmering aan te pas komt. Door de gewenste functionaliteiten in natuurlijke taal te beschrijven, produceren AI-modellen de bijbehorende broncode, wat de technische barrière voor het ontwikkelen van schadelijke software aanzienlijk verandert.

Ondanks de snelheid van deze ontwikkelmethode wijst praktijkonderzoek uit dat de resulterende code vaak onvoorspelbare defecten vertoont. AI-modellen blijken ook bij het genereren van ransomware-instructies te hallucineren, waardoor er code wordt geproduceerd die verwijst naar niet-bestaande componenten of logische inconsistenties bevat. Dit fenomeen dwingt aanvallers om de output van de AI kritisch te beoordelen, aangezien de gegenereerde malware door deze hallucinaties onstabiel kan zijn of simpelweg niet functioneert zoals beoogd.

De trend naar vibe coding onderstreept een bredere transitie in het digitale dreigingslandschap waarbij de snelheid van productie toeneemt, maar de betrouwbaarheid van de code afhankelijk blijft van de nauwkeurigheid van het gebruikte taalmodel. De huidige waarnemingen bevestigen dat de inzet van AI voor het vervaardigen van malware een structureel karakter heeft gekregen, waarbij de technische beperkingen van de modellen vooralsnog een bepalende factor blijven voor de effectiviteit van de geproduceerde ransomware.

Bron 1

Aan het begin van 2026 worden gebruikers van MetaMask geconfronteerd met een nieuwe golf van beveiligingsdreigingen. Uit recente incidenten blijkt dat de methoden van aanvallers aanzienlijk zijn opgeschaald en verfijnd. Er is een duidelijke trendbreuk zichtbaar: cybercriminelen stappen af van grootschalige, willekeurige spamcampagnes en richten zich nu op zeer doelgerichte en overtuigende fraudeschema's.

Het primaire doel van deze geavanceerde aanvallen is het buitmaken van de 'wallet recovery phrases' (de herstelzinnen die toegang geven tot de cryptovaluta). De meest recente waarschuwing volgt op een sterke toename van spam-e-mails die zich voordoen als officiële beveiligingsberichten van MetaMask.

Deze berichten zijn ontworpen om authentiek over te komen en spelen in op de zorgen van gebruikers over hun accountveiligheid. Doordat de aanvallen steeds gerichter en geloofwaardiger worden, neemt het risico voor individuele gebruikers in 2026 toe. Experts waarschuwen dat de focus van de daders volledig ligt op het misleiden van de gebruiker om hun beveiligingscodes af te staan.

Bron 1

Er is een actieve exploitatiecampagne waargenomen waarbij VMware ESXi-instanties worden aangevallen met een zero-day exploitkit. Deze toolkit is specifiek ontwikkeld om meerdere kwetsbaarheden te koppelen, waardoor een zogenaamde VM-escape mogelijk wordt. Bij een dergelijke aanval kunnen actoren de isolatie van een virtuele machine doorbreken om toegang te verkrijgen tot de onderliggende host en de daarop draaiende systemen.

Uit technische analyses van gedetecteerde incidenten blijkt dat de initiële toegang tot het netwerk wordt verkregen via een gecompromitteerde SonicWall VPN. Zodra de aanvallers toegang hebben tot het interne netwerk, maken zij gebruik van een gecompromitteerd Domain Admin-account. Dit stelt hen in staat om laterale bewegingen uit te voeren richting kritieke infrastructuur, waaronder de primaire domeincontrollers en de back-upomgevingen.

Op de primaire domeincontroller wordt vervolgens software aangewend om de controle over de ESXi-hypervisors te verkrijgen. Het gebruik van zero-day kwetsbaarheden betekent dat de gebruikte aanvalsmethoden op het moment van de incidenten nog niet bekend waren bij de softwareleverancier, waardoor reguliere beveiligingsmaatregelen de inbreuk niet direct konden voorkomen. De aanvalsketen kenmerkt zich door de combinatie van externe toegang via VPN-infrastructuren en het misbruik van hooggeprivilegieerde accounts binnen het Windows-domein om de virtualisatielaag te bereiken.

Bron 1

De Makop-ransomwaregroep heeft zijn operationele werkwijze vernieuwd door een verhoogde focus op automatisering en het misbruiken van fundamentele beveiligingsgebreken. Hoewel de groep momenteel een sterke activiteit vertoont in Aziatische regio's, zijn de gehanteerde technieken direct relevant voor de bredere cybersecurity-infrastructuur. De groep, die voortkomt uit de Phobos-ransomwarefamilie, combineert in de huidige campagnes toegankelijke inbraakmethoden met geavanceerde distributietools.

Een essentieel onderdeel van de gemoderniseerde strategie is de integratie van GuLoader. Deze downloader wordt door de aanvallers ingezet als tussenstation om de uiteindelijke ransomware-payload op systemen te plaatsen. Het gebruik van dergelijke loaders markeert een verschuiving ten opzichte van eerdere, meer handmatige verspreidingsmethoden. GuLoader dient specifiek om de detectie door beveiligingssoftware te bemoeilijken tijdens de installatiefase van de malware.

De initiële toegang tot netwerken wordt in de meeste gevallen verkregen via het Remote Desktop Protocol (RDP). De groep maakt gebruik van brute force-technieken om toegang te forceren tot systemen die direct verbonden zijn met het internet en beschikken over zwakke inloggegevens. Na het binnendringen verschuift de activiteit naar het systematisch verhogen van toegangsrechten. Hierbij wordt een toolkit ingezet met diverse privilege-escalatie exploits die gericht zijn op bekende Windows-kwetsbaarheden. Dit stelt de aanvallers in staat om administratieve controle te verkrijgen en beveiligingsmaatregelen zoals antivirussoftware uit te schakelen.

In plaats van uitsluitend te vertrouwen op op maat gemaakte software, leunt de groep zwaar op het exploiteren van configuratiefouten en ongepatchte systemen. De combinatie van RDP-misbruik, het gebruik van loaders en het inzetten van publiek beschikbare hackingtools vormt de kern van de huidige dreiging. Deze werkwijze bevestigt dat het systematisch uitbuiten van basisgebreken in de netwerkbeveiliging een primaire methode blijft voor succesvolle ransomware-operaties.

Bron 1

De Britse bank HSBC heeft een nieuwe beveiligingsmethode geïmplementeerd die de werking van de bank-app blokkeert zodra er apps op het toestel worden aangetroffen die via de alternatieve appstore F-Droid zijn geïnstalleerd. In het specifiek gaat het om de detectie van de wachtwoordmanager Bitwarden wanneer deze buiten de officiële Google Play Store om is gedownload. De bank stelt dat deze maatregel noodzakelijk is om de accounts van klanten te beschermen tegen mogelijke malwarerisico's die verbonden zijn aan onofficiële distributiekanalen.

De blokkade dwingt gebruikers om apps die via F-Droid zijn verkregen te verwijderen en deze, indien gewenst, uitsluitend via de Google Play Store opnieuw te installeren. Bitwarden heeft bevestigd dat de HSBC-app de toegang ontzegt zodra een installatie via F-Droid wordt geïdentificeerd. Volgens technische analyses maakt de bank gebruik van permissies die het mogelijk maken om de aanwezigheid en herkomst van andere applicaties op het toestel te scannen. Er wordt hierbij gewezen op het gebruik van integriteitscontroles die verifiëren of de softwareomgeving van de smartphone voldoet aan de veiligheidseisen van de financiële instelling.

Deze ontwikkeling sluit aan bij eerdere discussies in Nederland over de toegankelijkheid van bankdiensten op aangepaste Android-toestellen. Vorig jaar voerde de Nederlandse bank Triodos aanpassingen door om hun applicatie weer werkend te krijgen op GrapheneOS, een besturingssysteem dat de nadruk legt op privacy en beveiliging. Veel bank-apps maken gebruik van de Play Integrity API van Google om te controleren of een toestel niet is geroot of gemodificeerd. Omdat alternatieve besturingssystemen niet altijd door deze API worden geaccepteerd, kunnen gebruikers van dergelijke systemen buitengesloten worden van mobiel bankieren.

Hoewel banken zoals Triodos hebben aangegeven binnen hun mogelijkheden ondersteuning te willen bieden aan alternatieve Android-configuraties, toont de casus van HSBC een striktere benadering. Hierbij wordt de controle niet alleen beperkt tot het besturingssysteem zelf, maar uitgebreid naar de specifieke bron van andere geïnstalleerde applicaties. De bank hanteert hiermee een beleid waarbij software uit opensource-repositories zoals F-Droid als een potentieel veiligheidsrisico wordt geclassificeerd, ongeacht de legitimiteit van de app zelf.

De maatregel roept vragen op over de balans tussen de noodzakelijke preventie van fraude en de autonomie van gebruikers over hun eigen apparatuur. Terwijl banken de overstap van fysieke hardwaretokens naar mobiele apps hebben voltooid, neemt de controle op de integriteit van de smartphone als eindpunt toe. Dit leidt tot een situatie waarin de aanwezigheid van legitieme beveiligingstools, indien verkregen via niet-standaard kanalen, direct kan leiden tot het verlies van toegang tot financiële diensten.

Bron 1, 2

Sinds eind december is een grootschalige campagne waargenomen waarbij kwaadwillenden systematisch zoeken naar onjuist geconfigureerde proxyservers. Deze servers worden misbruikt om ongeautoriseerde toegang te verkrijgen tot commerciële Large Language Model (LLM) diensten. Volgens gegevens van het monitoringplatform GreyNoise zijn er in korte tijd meer dan 73 verschillende LLM-eindpunten onderzocht, wat resulteerde in ruim 80.000 gegenereerde sessies. De actoren maken gebruik van onopvallende opdrachten om te identificeren welk AI-model achter een eindpunt schuilgaat, zonder dat dit direct beveiligingsmeldingen genereert.

Onderzoek wijst op twee afzonderlijke operaties binnen deze trend. De eerste operatie, die al sinds oktober actief is, maakt misbruik van Server-Side Request Forgery (SSRF) kwetsbaarheden. Hierbij worden servers gedwongen verbinding te maken met externe infrastructuur die in beheer is van de aanvallers. Specifiek is waargenomen dat de 'model pull'-functionaliteit van Ollama wordt gebruikt om kwaadaardige registry-URL's en Twilio SMS-webhooks te injecteren. Omdat hierbij gebruik is gemaakt van specifieke infrastructuur voor kwetsbaarheidstesten (OAST), wordt vermoed dat een deel van deze activiteit afkomstig is van beveiligingsonderzoekers of bug bounty hunters.

De tweede campagne richt zich op grootschalige enumeratie. In een periode van elf dagen werden tienduizenden sessies gedetecteerd vanaf specifieke IP-adressen die gericht waren op API-formaten van onder andere OpenAI en Google Gemini. De lijst met doelwitten omvat modellen van nagenoeg alle grote aanbieders, waaronder Anthropic, Meta, DeepSeek, Mistral en xAI. De aanvallers sturen bewust 'onschuldige' verzoeken, zoals korte begroetingen of feitelijke vragen, om detectiesystemen te omzeilen terwijl zij de toegankelijkheid van de modellen in kaart brengen.

Hoewel er nog geen direct bewijs is gevonden van grootschalige datadiefstal of modelmisbruik na de ontdekking, duidt de schaal van de verkenning op kwaadaardige intenties voor de langere termijn. Experts adviseren organisaties om het ophalen van LLM-modellen te beperken tot vertrouwde registers en strikte netwerkfiltering toe te passen op uitgaand verkeer. Daarnaast is het blokkeren van bekende OAST-callbackdomeinen op DNS-niveau en het monitoren op specifieke netwerkvingerafdrukken van geautomatiseerde scantools noodzakelijk om deze dreiging te mitigeren.

Bron 1

Het socialemediaplatform X heeft de toegang tot de beeldbewerkingsfuncties van zijn kunstmatige intelligentie-tool Grok ingrijpend gewijzigd. De mogelijkheid om afbeeldingen te genereren of te bewerken is voortaan uitsluitend beschikbaar voor betalende abonnees. Deze beleidswijziging is doorgevoerd na aanhoudende kritiek op de software, die door gebruikers werd ingezet voor het creëren van seksueel getinte deepfakes. Het bleek mogelijk om via de tool foto's van personen digitaal te manipuleren en hen zonder toestemming virtueel te ontkleden.

Met de verplichting tot een betaald abonnement introduceert het platform een drempel tegen anonimiteit. Gebruikers die toegang willen tot de geavanceerde AI-functies dienen hun naam en financiële gegevens te registreren, waardoor zij in geval van misbruik identificeerbaar zijn. De maatregel volgt op diverse incidenten waarbij slachtoffers, waaronder een journalist van de BBC, publiekelijk deelden hoe zij door de gegenereerde beelden werden gereduceerd tot een seksueel object. Daarnaast is de kwestie geëscaleerd naar justitieel niveau; Franse ministers hebben melding gedaan bij de autoriteiten nadat de chatbot beelden van schaars geklede minderjarigen had geproduceerd op basis van gebruikersverzoeken.

De controverse heeft tevens geleid tot politieke interventie in het Verenigd Koninkrijk. De Britse premier Keir Starmer heeft de door AI gegenereerde afbeeldingen in scherpe bewoordingen veroordeeld en de nationale toezichthouder Ofcom opgeroepen om in te grijpen. De toezichthouder heeft het mandaat gekregen om alle beschikbare bevoegdheden in te zetten tegen het platform vanwege de zorgen rondom onrechtmatige content. Eigenaar Elon Musk zou volgens berichtgeving met ongenoegen hebben gereageerd op de pogingen om zijn AI-dienst ter verantwoording te roepen voor de gegenereerde output.

Bron 1

Nieuw digitaal sporenonderzoek werpt licht op de actoren en commerciële entiteiten die profiteren van het Kimwolf-botnet. Dit botnet heeft inmiddels meer dan twee miljoen apparaten geïnfecteerd door kwetsbaarheden in niet-geautoriseerde Android TV-streamingboxen uit te buiten. Uit analyses van beveiligingsbedrijven blijkt dat de geïnfecteerde apparaten niet alleen worden ingezet voor grootschalige distributed denial-of-service (DDoS)-aanvallen, maar ook dienen als doorgeefluik voor malafide internetverkeer via zogenaamde residentiële proxydiensten. Deze diensten worden vaak gebruikt voor advertentiefraude, het overnemen van gebruikersaccounts en het op grote schaal schrapen van data.

Beveiligingsonderzoeker XLab publiceerde in december 2025 gegevens waaruit blijkt dat Kimwolf dezelfde infrastructuur en code deelt met het oudere Aisuru-botnet. Een cruciaal verbindingspunt tussen deze twee netwerken werd gevonden in een internetadres dat wordt beheerd door Resi Rack LLC, een bedrijf gevestigd in de Amerikaanse staat Utah. Hoewel dit bedrijf zich profileert als aanbieder van game-servers, wordt het op gespecialiseerde fora ook aangeprezen als een leverancier van residentiële proxy-oplossingen. De eigenaren van Resi Rack verklaarden dat de misbruikte servers werden gehuurd door een klant en dat zij direct actie hebben ondernomen na meldingen over het misbruik, maar zij gaven geen verdere details over hun langdurige betrokkenheid bij de verkoop van proxydiensten via platformen zoals Discord.

Data van de startup Synthient bevestigen dat meerdere IP-adressen van Resi Rack al sinds oktober 2025 betrokken waren bij de Kimwolf-infrastructuur. In besloten communicatiekanalen werden specifieke adressen gedeeld die verantwoordelijk waren voor het routeren van verkeer via de geïnfecteerde Android-boxen. Binnen deze gemeenschappen vallen met name de aliassen Dort en Snow op als de vermoedelijke beheerders van de botnets. Volgens betrokkenen zou de persoon achter de naam Dort opereren vanuit Canada. Na publicaties over het botnet werden chatgeschiedenissen gewist en verplaatsten de activiteiten zich naar Telegram, waar geclaimd werd dat het totale aantal besmette apparaten inmiddels is opgelopen tot 3,5 miljoen.

Naast de directe beheerders zijn er aanwijzingen dat commerciële proxy-aanbieders zoals Plainproxies profiteren van de infecties. Het Kimwolf-botnet installeert softwarecomponenten, waaronder de ByteConnect SDK, die specifiek is ontworpen om applicaties te gelde te maken door apparaten van eindgebruikers om te vormen tot proxyservers. Hierdoor ontstaat een onbeperkte pool van IP-adressen die door derden kan worden ingekocht voor diverse doeleinden. Hoewel dergelijke bedrijven beweren ethisch te opereren, toont het onderzoek aan dat hun software op grote schaal wordt verspreid via botnet-infecties op goedkope consumentenelektronica.

Bron 1

De cybercrimineel die eind december verantwoordelijk was voor het datalek bij de website Wired.com, claimt nu de volledige database van het moederbedrijf Condé Nast te hebben buitgemaakt. De dataset wordt momenteel te koop aangeboden en bevat naar verluidt 40 miljoen unieke records. Condé Nast is de uitgever van diverse internationale publicaties, waaronder Wired, Vogue en The New Yorker.

De inbreuk op de systemen werd voor het eerst zichtbaar toen de hacker een database met ruim 2,3 miljoen abonneegegevens van Wired openbaar maakte. Kort daarna volgde de aankondiging dat ook de gegevens van andere titels binnen het mediaconcern zijn onderschept. De hacker stelt dat de diefstal mogelijk was door kwetsbaarheden in de webbeveiliging van de uitgever, die volgens de aanvaller ondanks eerdere meldingen niet tijdig zouden zijn verholpen.

De gelekte informatie bestaat uit persoonsgegevens van abonnees, waaronder e-mailadressen en interne gebruikers-ID's. In een deel van de records zijn ook namen, fysieke adressen, telefoonnummers en geboortedata aanwezig. Uit analyses van de reeds gepubliceerde Wired-data blijkt dat het merendeel van de records vooral e-mailadressen bevat, terwijl volledige profielen met NAW-gegevens slechts bij een kleine fractie (circa 0,06%) voorkomen. Er zijn geen aanwijzingen dat er bij dit incident wachtwoorden of creditcardgegevens zijn ontvreemd.

De gestolen data bevatten informatie die is verzameld over een periode van bijna dertig jaar, met records die dateren van 1996 tot en met september 2025. De beschikbaarheid van deze gegevens vormt een risico op het gebied van phishing en identiteitsfraude, aangezien kwaadwillenden de informatie kunnen gebruiken voor gerichte aanvallen op abonnees wereldwijd. De e-mailadressen uit de eerdere publicatie zijn inmiddels toegevoegd aan databases voor datalek-checks, zodat gebruikers hun blootstelling kunnen controleren.

Bron 1

Onderzoekers hebben een geavanceerde aanvalsmethode geïdentificeerd waarbij Android-toestellen worden misbruikt om bankrekeningen te plunderen. Deze techniek, bekend als Ghost Tapped, maakt gebruik van Near Field Communication (NFC) om betalingsgegevens van fysieke bankpassen in real-time door te sturen naar criminelen. Hierdoor kunnen daders wereldwijd frauduleuze transacties uitvoeren bij betaalautomaten en geldautomaten, terwijl de rechtmatige eigenaar de bankpas nog in bezit heeft.

De aanvalsketen begint meestal met sociale manipulatie via sms-berichten of telefoongesprekken. Slachtoffers worden verleid om een schadelijk APK-bestand te installeren dat zich voordoet als een officiële bank- of betaalapplicatie. Na installatie vraagt de app de gebruiker om de bankpas tegen de smartphone te houden voor een zogenaamde verificatie. Op dat moment onderschept de malware de NFC-gegevens en verzendt deze direct naar een externe command-and-control server.

Het systeem achter Ghost Tapped bestaat uit twee componenten: een 'reader-app' op het toestel van het slachtoffer en een 'tapper-app' op het toestel van de crimineel. De reader legt de kaartgegevens vast en stuurt deze versleuteld door via internetprotocollen zoals WebSocket. De tapper-applicatie op het toestel van de dader ontvangt deze signalen en emuleert de bankpas bij een fysieke betaalterminal. Voor het betalingssysteem lijkt dit een legitieme, fysieke transactie omdat de cryptografische signalen correct zijn.

Tussen augustus 2024 en augustus 2025 zijn meer dan 54 varianten van deze malware gedetecteerd, die door Chinese actoren worden verhandeld op platforms zoals Telegram. Uit onderzoek naar één specifieke groep bleek dat er in tien maanden tijd voor minstens 355.000 dollar aan frauduleuze transacties werd verwerkt. Inmiddels zijn er in verschillende landen, waaronder de Verenigde Staten, Singapore en Tsjechië, arrestaties verricht in verband met deze vorm van cybercriminaliteit.

Bron 1

Een grootschalige malwarecampagne maakt gebruik van frauduleuze websites die zich voordoen als officiële downloadbronnen voor de WinRAR-software. Via deze platformen worden aangepaste installatiebestanden verspreid die de Winzipper-malware op systemen van gebruikers introduceren. De aanvalsmethode is gebaseerd op het misleiden van personen die via zoekmachines of externe links op niet-officiële domeinen terechtkomen voor hun softwarebehoeften.

De technische infrastructuur van de aanval berust op een multi-fase infectieketen. Het startbestand, doorgaans een zip-archief met de naam winrar-x64-713scp.zip, bevat een uitvoerbaar bestand dat met UPX is gecomprimeerd. Dit bestand bevat specifieke afwijkingen in de code-architectuur die bedoeld zijn om automatische analyse door beveiligingssoftware te verstoren. Bij activatie worden gelijktijdig twee programma's uitgevoerd: de legitieme WinRAR-installer en een versleuteld archief onder de naam setup.hta.

De schadelijke component binnen het HTA-bestand wordt pas tijdens runtime direct in het systeemgeheugen uitgepakt. Deze methode voorkomt dat de malware als een fysiek bestand op de schijf wordt opgeslagen, waardoor detectie door standaard virusscanners wordt bemoeilijkt. Direct na de activering verzamelt de malware systeemgegevens en Windows-profielinformatie. Deze gegevens stellen de aanvallers in staat om de payload aan te passen aan de specifieke configuratie van het slachtoffer voor een maximale impact.

Analyses tonen aan dat de infectie leidt tot de uitvoering van nimasila360.exe, een bestand dat behoort tot de Winzipper-malwarefamilie. Deze software fungeert als een backdoor-trojan, wat inhoudt dat externe actoren ongeautoriseerde toegang verkrijgen tot het gecompromitteerde systeem. De malware faciliteert de diefstal van gegevens, biedt controle over systeemprocessen en kan fungeren als toegangspoort voor aanvullende kwaadaardige payloads. Voor de eindgebruiker is de infectie nauwelijks zichtbaar, aangezien het legitieme compressieprogramma op de achtergrond gewoon wordt geïnstalleerd.

De betrokken domeinen die deze besmette bestanden aanbieden, zoals winrar-tw.com, winrar-x64.com en winrar-zip.com, zijn door beveiligingsonderzoekers geïdentificeerd als onderdeel van deze specifieke campagne. Deze domeinen zijn momenteel opgenomen in blokkeringslijsten van diverse beveiligingssystemen om verdere verspreiding van de Winzipper-malware tegen te gaan.

Bron 1

Gedurende het jaar 2025 is een significante stijging waargenomen in het aantal cyberdreigingen waarbij de verkoop van initiële netwerktoegang centraal staat. Uit onderzoek blijkt dat er in deze periode 92 incidenten zijn gedocumenteerd waarbij toegang tot organisaties in de regio Australië en Nieu-Zeeland werd aangeboden op ondergrondse marktplaatsen. Deze markt voor gestolen inloggegevens en toegangspunten is geprofessionaliseerd, waarbij criminelen zich strategisch richten op datarijke sectoren.

De detailhandel bleek de meest geviseerde sector en was verantwoordelijk voor ongeveer 34 procent van de waargenomen verkoopadvertenties. Andere sectoren die veelvuldig doelwit waren, zijn de bancaire sector, de financiële dienstverlening, verzekeraars, de zakelijke dienstverlening en de gezondheidszorg. Deze focus is direct herleidbaar naar de waarde van de aanwezige klantgegevens en de financiële data die binnen deze netwerken worden beheerd.

De onderliggende marktstructuur van deze handel is gedecentraliseerd. Hoewel enkele actoren, opererend onder aliassen zoals cosmodrome en shopify, een aanzienlijk deel van de listings voor hun rekening namen, is de markt grotendeels in handen van een diverse groep opportunistische deelnemers. Deze handel vindt plaats op zowel Russisch- als Engelstalige cybercriminele fora.

Verschillende incidenten illustreren de gevolgen van deze handelswijze. In juni 2025 leidde een aanval door de groep Scattered Spider op een luchtvaartmaatschappij tot de diefstal van gegevens van bijna zes miljoen klanten. Hierbij werden onder meer namen, e-mailadressen en geboortedata buitgemaakt. Eerder in dat jaar werd toegang tot een grote retailketen aangeboden voor een vastgesteld bedrag, waarbij de koper de beschikking kreeg over 250 gigabyte aan data, inclusief een database met 71.000 gebruikersrecords. De voortdurende activiteit op de markt voor netwerktoegang duidt op een aanhoudend risico voor de integriteit van bedrijfsnetwerken in 2026.

Bron 1

Tussen 25 en 28 december heeft een enkele dreigingsactor een grootschalige verkenningsoperatie uitgevoerd gericht op systemen die verbonden zijn met het internet. Tijdens deze campagne werden meer dan 240 verschillende exploits ingezet om kwetsbaarheden in kaart te brengen. De operatie wordt gezien als een voorbereidende fase voor toekomstige ransomware-aanvallen, waarbij de aanvaller fungeert als een Initial Access Broker die lijsten met kwetsbare systemen samenstelt voor verdere exploitatie.

De technische analyse toont aan dat de aanvallen werden uitgevoerd vanaf twee specifieke IP-adressen, 134.122.136.119 en 134.122.136.96, behorend tot de infrastructuur van CTG Server Limited. De actor maakte gebruik van geautomatiseerde tooling die sterke overeenkomsten vertoont met de open-source scanner Nuclei. Systemen werden met intervallen van één tot vijf seconden gescand, waarbij per doelwit gemiddeld elf verschillende exploittypes werden getest. Op basis van gedeelde machine-identificatiecodes en JA4-netwerkvingerafdrukken is vastgesteld dat 98 procent van de activiteit afkomstig was van één enkele operator.

De timing van de aanval tijdens de feestdagen was strategisch gekozen om gebruik te maken van de verminderde bezetting bij beveiligingsteams. Onderzoekers detecteerden de activiteit door de inzet van meer dan 57.000 unieke subdomeinen voor Out-of-Band Application Security Testing. Deze techniek stelt aanvallers in staat om buiten de directe verbinding om te verifiëren of een exploit succesvol is geweest.

Voor organisaties is het noodzakelijk om historische loggegevens van de betreffende periode te analyseren op specifieke indicatoren. Naast de genoemde IP-adressen duiden uitgaande DNS-aanvragen naar domeinen eindigend op oast.pro, oast.site, oast.me, oast.online, oast.fun en oast.live op een succesvolle detectie door de aanvaller. Indien dergelijk verkeer wordt waargenomen, moet ervan worden uitgegaan dat de organisatie is opgenomen in een database van kwetsbare doelwitten die gedurende 2026 verhandeld kan worden op criminele marktplaatsen.

Bron 1

Sinds mei 2024 is een ransomware-variant genaamd Fog actief, waarbij de focus ligt op het aanvallen van organisaties binnen de onderwijs- en recreatiesector. Forensische analyses van diverse incidenten tonen aan dat de aanvallers een specifieke methode hanteren waarbij zij binnendringen via VPN-gateways. Hierbij wordt gebruikgemaakt van legitieme maar gecompromitteerde inloggegevens, wat de kwetsbaarheid van externe toegangspunten onderstreept.

Zodra de initiële toegang tot een netwerk is verkregen, verplaatsen de actoren zich zijwaarts door de infrastructuur. Er is vastgesteld dat hierbij gebruik wordt gemaakt van administrator-accounts om via het Remote Desktop Protocol (RDP) verbinding te maken met Windows-servers. In het bijzonder richten de aanvallers zich op systemen die Hyper-V en Veeam-back-upsoftware draaien. Voordat de versleuteling van bestanden begint, wordt Windows Defender op de doelservers uitgeschakeld om de detectie- en preventiemechanismen van het systeem te neutraliseren.

De technische uitvoering van de aanval rust op een combinatie van bekende penetratietools en op maat gemaakte scripts. Instrumenten zoals PsExec en Metasploit worden ingezet voor procesuitvoering en verkenning, terwijl specifieke PowerShell-scripts worden gebruikt om inloggegevens uit back-upbeheerders te extraheren. De ransomware zelf is geprogrammeerd om de versleuteling uit te voeren met een thread-pool die wordt opgeschaald op basis van de aanwezige systeembronnen, variërend van twee tot zestien threads.

Tijdens het encryptieproces worden bestanden voorzien van extensies zoals .FOG of .FLOCKED. Een cruciaal onderdeel van de aanvalsmethode is de executie van vssadmin.exe met opdrachten om alle Volume Shadow Copies te verwijderen. Hiermee worden lokale herstelmogelijkheden geëlimineerd. De strategie van de Fog-variant lijkt primair gericht op het veroorzaken van snelle operationele uitval om betalingen af te dwingen, aangezien er in de onderzochte gevallen geen bewijs is gevonden voor grootschalige datadiefstal of het gebruik van publieke lekwebsites.

Het beveiligen van VPN-infrastructuren door middel van multifactorauthenticatie en het handhaven van robuuste, offline back-upstrategieën blijven de belangrijkste maatregelen om de impact van dergelijke ransomware-aanvallen te minimaliseren. De snelle versleutelingstijdlijnen en de gerichte aanpak op kritieke back-upsystemen maken deze dreiging een relevant aandachtspunt voor systeembeheerders en cybersecurity-experts.

Bron 1

Er is een actieve malwarecampagne waargenomen waarbij de xRAT remote access trojan, ook bekend als QuasarRAT, wordt verspreid onder Windows-gebruikers. De aanvallers maken hierbij gebruik van file-sharing diensten om gecomprimeerde bestanden aan te bieden die zich voordoen als games voor volwassenen. Hoewel de distributie in eerste instantie is waargenomen op specifieke downloadplatforms, toont de technische analyse aan dat de malware geavanceerde methoden inzet om detectie te omzeilen en systemen over te nemen.

Het infectieproces start wanneer een gebruiker een archiefbestand downloadt dat diverse componenten bevat, waaronder een uitvoerbaar bestand dat als launcher fungeert. Bij activatie wordt er geen daadwerkelijk spel gestart, maar worden kwaadaardige databestanden naar strategische locaties op de harde schijf gekopieerd. Bestanden worden hernoemd naar namen die legitiem ogen, zoals GoogleUpdate.exe en WinUpdate.db, en geplaatst in systeemmappen om minder op te vallen tussen reguliere Windows-bestanden.

De technische complexiteit van deze dreiging bevindt zich voornamelijk in de uitvoeringsfase. Het vervalste update-bestand past AES-decryptie toe op de bijbehorende database om shellcode te extraheren. Deze code wordt vervolgens geïnjecteerd in explorer.exe, een essentieel proces van het Windows-besturingssysteem. Om detectie door beveiligingssoftware en systeembeheerders te voorkomen, past de malware de functie EtwEventWrite aan binnen dit proces. Hiermee wordt Event Tracing for Windows (ETW) effectief uitgeschakeld, waardoor de kwaadaardige activiteiten niet terug te vinden zijn in de standaard logboeken.

Zodra de injectie succesvol is, functioneert de malware als een volledig operationele remote access tool met verhoogde privileges. De xRAT-payload stelt aanvallers in staat om toetsaanslagen te registreren, gevoelige systeeminformatie te verzamelen en bestanden te exfiltreren. Gezien de specifieke vermomming als entertainmentsoftware en de technische methode om systeemlogging uit te schakelen, vormt deze variant een aanzienlijk risico voor gebruikers die uitvoerbare bestanden downloaden via onofficiële kanalen.

Bron 1

Op 9 januari 2026 is de volledige broncode van de geavanceerde phishingkit Xverginia 4.1 publiekelijk beschikbaar gemaakt. De dreigingsactor die verantwoordelijk is voor de verspreiding van deze software wordt aangeduid met de naam Spear. De publicatie van deze broncode stelt derden in staat om de volledige technische infrastructuur van de toolkit in te zien en te gebruiken. De software is specifiek ontwikkeld voor het op grote schaal oogsten van inloggegevens en beschikt over ingebouwde functionaliteiten voor de analyse van slachtoffergegevens en de effectiviteit van aanvallen.

De technische opbouw van Xverginia 4.1 bevat instrumenten voor geavanceerde gegevensverwerking. De kit bevat een dashboard waarop statistieken over de geldigheid van onderschepte inloggegevens direct zichtbaar zijn. Daarnaast beschikt de software over mogelijkheden voor IP-geolocatie, waarmee de geografische herkomst van bezoekers van de phishingpagina’s wordt vastgelegd. Het systeem maakt gebruik van op phishlets gebaseerde sjablonen, wat het mogelijk maakt om verschillende frauduleuze inlogomgevingen op te zetten binnen één raamwerk.

Binnen de beheeromgeving van de toolkit wordt gedetailleerde tracking bijgehouden van het aantal bezoeken per land en per specifieke configuratie. Deze data wordt gebruikt om het rendement van phishingcampagnes te monitoren en te optimaliseren. Door het openbaar maken van de broncode is de technische kennis die nodig is voor het opzetten van dergelijke operaties breder toegankelijk geworden. De focus van de software ligt op de automatisering van het proces waarbij inloggegevens van gebruikers worden onderschept en gecentraliseerd voor de aanvaller.

Een omvangrijk datalek bij Instagram heeft de persoonlijke gegevens van 17,5 miljoen gebruikers blootgelegd. Cybersecurity-analisten hebben bevestigd dat een dataset met gevoelige informatie momenteel wordt verspreid via kanalen op het dark web. De buitgemaakte gegevens bestaan uit gebruikersnamen, e-mailadressen, telefoonnummers en gedeeltelijke fysieke adressen.

Het lek is herleid naar een kwetsbaarheid in een Application Programming Interface (API), een technisch koppelpunt waardoor externe software met het platform communiceert. Onderzoek naar de herkomst van de data wijst op een hacker die opereert onder de naam Solonik. Hoewel de dataset op 10 januari 2026 breed onder de aandacht kwam, zijn er sterke aanwijzingen dat de informatie een samenvoeging is van eerdere scraping-activiteiten uit 2024 en 2022. Door de hernieuwde verspreiding van deze gecombineerde gegevens zijn de risico's voor de betrokken gebruikers opnieuw actueel.

Een kenmerkend fenomeen bij dit incident is dat een groot aantal gebruikers legitieme, maar ongevraagde wachtwoordherstel-e-mails ontvangt van het officiële adres van het platform. Deze e-mails worden door kwaadwillenden getriggerd door de gelekte gebruikersnamen in te voeren in de herstelfunctie van Instagram. Experts stellen dat deze methode wordt gebruikt om de beveiligingsstatus van accounts te peilen of om de aandacht van gebruikers af te leiden tijdens andere frauduleuze handelingen.

Meta, het moederbedrijf van Instagram, heeft tot op heden geen formele verklaring afgegeven over de omvang van het incident of de specifieke technische tekortkoming in de API. De beschikbaarheid van deze dataset op illegale fora verhoogt de kans op gerichte phishing en pogingen tot accountovername voor miljoenen gebruikers wereldwijd, waaronder ook de Nederlands-Belgische regio.

Bron 1

Onderzoekers hebben een nieuwe variant van de MacSync-malware geïdentificeerd die specifiek is ontwikkeld om beveiligingsmechanismen binnen macOS te omzeilen. Deze recente versie maakt gebruik van een digitaal ondertekende en door Apple genoteerde applicatie. Door deze technische signatuur wordt de malware door Gatekeeper niet als onveilig gemarkeerd, waardoor waarschuwingen over software van onbekende ontwikkelaars uitblijven.

De malware is geschreven in de programmeertaal Swift en werd technisch geanalyseerd door Jamf Threat Labs. De aanvallers maken gebruik van geldige ontwikkelaarscertificaten om de applicatie een legitieme status te geven. Deze certificaten worden veelal verkregen door de overname van gecompromitteerde ontwikkelaarsaccounts of door het registreren van fictieve bedrijven onder valse identiteiten. Het gebruik van deze certificaten zorgt ervoor dat het besturingssysteem de kwaadaardige code als vertrouwd beschouwt.

In de waargenomen campagne doet de malware zich voor als zk-Call, een applicatie voor communicatiediensten. Dit wijkt af van eerdere MacSync-varianten die vaak zeer compact waren en payloads direct in het werkgeheugen uitvoerden. De huidige versie wordt verspreid als een schijfkopie van ongeveer 25,5 MB. Deze toegenomen bestandsgrootte duidt op de integratie van complexere functionaliteiten en componenten die lokaal op de schijf worden opgeslagen.

Na infectie richt MacSync zich primair op datadiefstal. De software doorzoekt het systeem op browsergegevens, opgeslagen wachtwoorden en inloggegevens voor cryptovaluta-wallets. Daarnaast beschikt de malware over mogelijkheden om een achterdeur te installeren, waardoor aanvallers op afstand controle over het systeem kunnen uitoefenen. Er is vastgesteld dat de malware communiceert met een specifieke command-and-control server om gestolen data te verzenden en nieuwe instructies te ontvangen.

De verspreiding van deze variant verloopt vermoedelijk via kwaadaardige advertenties, manipulatie van zoekresultaten en social engineering. De combinatie van een legitiem ogende dekmantel en een geldige digitale handtekening verlaagt de drempel voor gebruikers om de software te installeren aanzienlijk.

Bron 1

Het beruchte hackingforum BreachForums is getroffen door een datalek waarbij de gegevens van 323.988 gebruikersaccounts openbaar zijn gemaakt. Het platform, dat fungeert als een spil in de internationale handel in gestolen data en illegale toegang tot bedrijfsnetwerken, heeft de authenticiteit van het lek inmiddels bevestigd. De database verscheen online in een gecomprimeerd archief en bevat gevoelige informatie over de gebruikerspopulatie van het forum.

De gelekte data zijn afkomstig uit een MyBB-gebruikerstabel en bevatten onder meer weergavenamen, registratiedatums en IP-adressen. Uit technische analyse van de database blijkt dat ruim 70.000 records publieke IP-adressen bevatten die direct herleidbaar zijn naar individuele gebruikers. Hoewel een ander deel van de records naar lokale loopback-adressen verwijst, vormen de gelekte publieke IP-adressen een aanzienlijk risico voor de operationele veiligheid van de betrokken gebruikers en bieden zij opsporingsinstanties en cybersecurity-experts belangrijke aanknopingspunten voor onderzoek.

Naast de gebruikersgegevens is ook de PGP-privésleutel van de forumbeheerder uitgelekt. Deze sleutel, die in juli 2023 werd aangemaakt voor het ondertekenen van officiële berichten, was oorspronkelijk beveiligd met een wachtwoord. Recente gegevens wijzen er echter op dat dit wachtwoord eveneens bekend is geworden, waardoor de mogelijkheid bestaat dat kwaadwillenden berichten kunnen vervalsen die van de officiële forumbeheerders afkomstig lijken te zijn.

De huidige beheerder van BreachForums heeft verklaard dat de database dateert van augustus 2025. Volgens de administratie van het forum werd de informatie buitgemaakt toen de gebruikerstabel en de PGP-sleutel tijdelijk in een onbeveiligde map waren geplaatst tijdens een migratieproces na de inbeslagname van een vorig domein. De laatste registraties in het gelekte bestand dateren van 11 augustus 2025, de dag waarop de infrastructuur van de vorige versie van het forum werd stilgelegd na de arrestatie van vermeende beheerders.

Bron 1

Op 11 januari 2026 hebben beveiligingsonderzoekers melding gemaakt van een datalek waarbij naar verluidt 104.000 combinaties van e-mailadressen en wachtwoorden voor PayPal-accounts zijn blootgesteld. De dataset is opgedoken op diverse kanalen die het dark web monitoren en wordt daar aangeboden als een lijst met valide inloggegevens. Gezien de populariteit van de betaaldienst in de Benelux, is de kans aanwezig dat ook Nederlandse en Belgische gebruikersgegevens deel uitmaken van de verspreide informatie.

De blootgestelde gegevens betreffen directe inlogcombinaties, wat de dreiging van ongeautoriseerde toegang tot financiële middelen en persoonsgegevens aanzienlijk vergroot. Hoewel er op dit moment geen indicaties zijn van een directe technische inbreuk op de infrastructuur van de betaaldienst zelf, wijst de aard van de data op de mogelijkheid van het verzamelen van gegevens via credential stuffing of malware-infecties bij eindgebruikers. Bij dergelijke incidenten worden inloggegevens die elders zijn buitgemaakt, systematisch getest op bruikbaarheid bij financiële dienstverleners.

Experts en analisten die de datastromen op het dark web observeren, onderzoeken momenteel de authenticiteit en actualiteit van de 104.000 records. Het publiceren van dergelijke lijsten leidt doorgaans tot een verhoogd risico op accountovernames en frauduleuze transacties. Zolang de dataset circuleert en de geldigheid van de inloggegevens niet is ingetrokken of gewijzigd, blijft het risico voor de betreffende rekeninghouders van kracht. De situatie wordt nauwgezet gevolgd om de exacte herkomst van de data definitief vast te stellen.

Reisplatform Interrail heeft op maandag 12 januari 2026 een ernstig beveiligingsincident gemeld waarbij klantgegevens van een onbekend aantal reizigers zijn ontvreemd. Het lek heeft niet alleen gevolgen voor Interrail-gebruikers, maar treft ook klanten van Eurail en jongeren die deelnemen aan het DiscoverEU-programma van de Europese Commissie. Volgens de organisatie hebben aanvallers ongeoorloofde toegang gekregen tot interne systemen, wat leidde tot de diefstal van een breed scala aan persoonlijke informatie.

Uit een verklaring van de Europese Commissie blijkt dat de buitgemaakte informatie zeer gevoelig van aard is. De dataset bevat naast standaard contactinformatie zoals namen, woonadressen, e-mailadressen en telefoonnummers ook diepgaande persoonlijke details. Het gaat hierbij om geboortedata, bankrekeningnummers en, in het geval van DiscoverEU-deelnemers, ook gezondheidsgegevens. Bijzonder zorgwekkend is het feit dat er kopieën van paspoorten of identiteitskaarten zijn gelekt van klanten die deze documenten aan de organisatie hadden verstrekt.

Na de ontdekking van de inbraak zijn direct beveiligingsmaatregelen getroffen. Hoewel de exacte methode van de aanval niet openbaar is gemaakt, bevestigt Brussel dat de kwetsbaarheid inmiddels is verholpen. Als voorzorgsmaatregel heeft het bedrijf een geforceerde wachtwoordreset voor betrokkenen uitgevoerd en is de actieve monitoring op de netwerken verhoogd. Het incident is formeel gemeld bij de relevante privacytoezichthouders en er wordt momenteel samengewerkt met de autoriteiten.

Interrail en de Europese Commissie benadrukken dat het onderzoek naar de precieze omvang van de schade nog loopt. Getroffen reizigers zullen rechtstreeks door de organisatie worden geïnformeerd over de stappen die zij moeten ondernemen om de risico's op bijvoorbeeld identiteitsfraude te beperken.

Samenvatting
Een inbraak op de systemen van Interrail en Eurail heeft geleid tot het uitlekken van persoonsgegevens van reizigers uit heel Europa, waaronder Nederland en België. De gestolen data bevat gevoelige informatie zoals paspoortkopieën, IBAN-nummers en contactgegevens. De organisatie heeft de kwetsbaarheid gedicht, een wachtwoordreset doorgevoerd en de privacytoezichthouders ingelicht.

Bron 1, 2

Beveiligingsonderzoekers hebben vastgesteld dat de mobiele applicaties van Telegram een technisch proces hanteren waardoor het werkelijke IP-adres van een gebruiker onbedoeld kan worden geëxposeerd. Dit gebeurt wanneer een gebruiker klikt op een speciaal geconfigureerde link die bedoeld is voor het instellen van een proxy. Bij de interactie met een dergelijke link maakt de applicatie op Android of iOS automatisch een directe verbinding met de externe server om de beschikbaarheid te testen, nog voordat de gebruiker de configuratie bevestigt.

Het mechanisme maakt gebruik van de MTProto-proxyfunctionaliteit, die binnen de app wordt aangestuurd via specifieke URL-structuren. Deze links zijn door aanvallers te vermommen als reguliere gebruikersnamen of onschadelijke tekstlinks. Omdat de applicatie bij een klik onmiddellijk een uitgaand netwerkverzoek initieert om de proxy te controleren, kan de beheerder van de ontvangende server het IP-adres van het apparaat registreren. Dit verzoek vindt direct plaats vanaf het toestel van de gebruiker, waardoor eventuele eerder ingestelde anonimiseringslagen worden gepasseerd.

De blootstelling van het IP-adres stelt beheerders van kwaadaardige servers in staat om de globale geografische locatie van gebruikers vast te stellen of gerichte netwerkaanvallen uit te voeren. De methode wordt door experts omschreven als een effectieve manier voor deanonymisering, aangezien er slechts één klik vereist is en de gebruiker geen verdere handelingen hoeft te verrichten om de gegevens over te dragen.

Telegram heeft verklaard dat het tonen van een IP-adres aan een serverbeheerder inherent is aan de werking van het internet en vergelijkbaar is met het bezoeken van een website. Desondanks heeft de organisatie aangekondigd een extra waarschuwingsscherm te implementeren. Deze melding moet gebruikers informeren over de mogelijke risico's voordat de verbinding met een proxylink tot stand wordt gebracht. Er is geen specifieke datum verstrekt voor wanneer deze beveiligingsupdate in de officiële cliënt-versies beschikbaar zal zijn.

Bron 1

De Fraudehelpdesk waarschuwt op 12 januari 2026 voor een hernieuwde golf van valse e-mails waarin burgers worden beschuldigd van het bezit van kinderporno. Deze berichten worden verstuurd uit naam van de Europese politieorganisatie Europol. De e-mail is opgesteld als een officiële gerechtelijke brief en bevat een PDF-bijlage waarin de aard van de vermeende beschuldiging verder wordt toegelicht. Ontvangers worden onder zware druk gezet door de eis dat zij binnen 24 uur moeten reageren via een antwoordmail om hun onschuld aan te tonen.

In specifieke meldingen wordt aangegeven dat slachtoffers ook worden beschuldigd van het verspreiden van kinderporno. In deze variant van de fraude wordt de ontvanger gesommeerd om een kopie van het paspoort op te sturen naar een adres in Frankrijk. Indien hier niet binnen 24 uur aan wordt voldaan, dreigen de verzenders met een boete van €500.000. Deze werkwijze is puur gericht op intimidatie om identiteitsgegevens of geld te ontfutselen.

Deze e-mails zijn frauduleus en afkomstig van criminelen. Het dringende advies is om niet op de berichten te reageren, geen bijlagen te openen en de e-mail direct te verwijderen. Europol en andere politiediensten sturen nooit dergelijke beschuldigingen of boetes via e-mail. Personen die al gegevens hebben verstrekt of betalingen hebben gedaan, wordt geadviseerd direct contact op te nemen met de relevante instanties voor ondersteuning en om melding te maken van de fraude.

Bron 1

Cyberbeveiligingsonderzoekers hebben de operationele structuur blootgelegd van dienstverleners die de criminele economie rondom pig butchering-fraude ondersteunen. Deze vorm van oplichting, waarbij slachtoffers via sociaal contact worden verleid tot frauduleuze investeringen, wordt gefaciliteerd door een model genaamd Pig Butchering-as-a-Service (PBaaS). Hierbij leveren gespecialiseerde actoren de volledige infrastructuur, software en logistieke ondersteuning aan criminele netwerken.

De basis van deze operaties bevindt zich in grootschalige complexen in Zuidoost-Azië, waar fraude op industriële schaal plaatsvindt. Deze locaties huisvesten duizenden personen die vaak onder dwang en onder dreiging van geweld worden ingezet om social engineering-operaties uit te voeren. De PBaaS-aanbieders verlagen de technische instapbarrière aanzienlijk door kant-en-klare pakketten aan te bieden. Dit omvat niet alleen de technische platforms, maar ook methoden om gestolen gelden en cryptovaluta snel wit te wassen via kanalen die buiten het bereik van internationale wetshandhaving vallen.

Een geïdentificeerde aanbieder binnen dit ecosysteem is Penguin Account Store, ook opererend onder namen als Heavenly Alliance en Overseas Alliance. Zij hanteren een Crimeware-as-a-Service (CaaS) model en verkopen fraudekits, sjablonen voor oplichting en datasets met gestolen persoonsgegevens. Daarnaast worden op grote schaal gecompromitteerde of vooraf geregistreerde accounts verhandeld voor sociale media en datingapps zoals Facebook, Instagram en Tinder. De prijzen van deze accounts zijn afhankelijk van de registratiedatum en de mate van authenticiteit. Naast digitale goederen worden ook fysieke hulpmiddelen geleverd, waaronder bulk-simkaarten en 4G/5G-routers.

Een ander essentieel onderdeel van de PBaaS-sector is het gebruik van Social Customer Relationship Management (SCRM) systemen, zoals SCRM AI. Deze platformen stellen fraudeurs in staat om de interactie met slachtoffers te automatiseren en te beheren. Daarnaast worden CRM-systemen zoals UWORK ingezet om volledige controle te houden over agenten die de gesprekken voeren. Deze systemen bevatten sjablonen voor investeringswebsites die legitiem ogen door de integratie van real-time financiële data van bekende handelsplatformen. De beheerdersomgeving van dergelijke systemen biedt uitgebreid inzicht in de winstgevendheid per agent en bewaart alle chat- en e-mailcorrespondentie met slachtoffers.

De technische distributie van frauduleuze applicaties voor Android en iOS verloopt via methoden die de reguliere app-store-controles omzeilen. Dit gebeurt onder meer door apps te vermommen als onschadelijke nieuwsapplicaties, waarbij de werkelijke handelsfunctionaliteit pas geactiveerd wordt na het invoeren van een specifieke code. De kosten voor een volledig pakket — bestaande uit een website met beheerdersrechten, hosting, mobiele apps en de registratie van een dekmantelbedrijf in een belastingparadijs — beginnen rond de 2.500 dollar. Deze professionele ondersteuning stelt criminele syndicaten in staat om met relatief beperkte technische expertise wereldwijd operaties op te schalen.

Bron 1

In het n8n-ecosysteem voor workflowautomatisering is een supply chain-aanval vastgesteld waarbij kwaadaardige pakketten via de npm-registry werden verspreid. De aanval richt zich op het ontvreemden van OAuth-tokens en API-sleutels door misbruik te maken van de manier waarop het platform integraties van derden, de zogenaamde community nodes, verwerkt.

De aanvallers publiceerden verschillende pakketten die zich voordeden als legitieme integraties voor populaire diensten zoals Google Ads. Zodra een gebruiker een dergelijke node installeert en configureert, worden de inloggegevens in eerste instantie versleuteld opgeslagen in de credential store van n8n. Echter, tijdens de uitvoering van een workflow is de kwaadaardige code in staat om deze tokens met de hoofdsleutel van de n8n-installatie te ontsleutelen en vervolgens door te sturen naar externe servers.

Beveiligingsonderzoek wijst uit dat de kwaadaardige pakketten duizenden keren zijn gedownload voordat ze werden opgemerkt. Onder de geïdentificeerde pakketten bevonden zich namen als n8n-nodes-gasdhgfuy-rejerw-ytjsadx en n8n-nodes-hfgjf-irtuinvcm-lasdqewriit. Hoewel veel van deze bibliotheken inmiddels uit de npm-registry zijn verwijderd, zijn er aanwijzingen dat de campagne nog actief is via alternatieve pakketnamen en accounts.

Het risico van deze aanval wordt vergroot door de architectuur van het automatiseringsplatform. Community nodes hebben binnen de runtime-omgeving hetzelfde toegangsniveau als de applicatie zelf. Er is geen sprake van sandboxing of isolatie, waardoor de code ongehinderd toegang heeft tot het bestandssysteem, omgevingsvariabelen en uitgaande netwerkverbindingen. Hierdoor kunnen aanvallers diepe zichtbaarheid krijgen in geautomatiseerde workflows en gevoelige informatie onderscheppen.

Voor beheerders van zelfgehoste instanties is het mogelijk om de installatie van dergelijke community-pakketten volledig te blokkeren door de specifieke configuratieparameter voor community-pakketten op onwaar te zetten. Het uitvoeren van een audit op reeds geïnstalleerde pakketten en het controleren van metadata op afwijkingen zijn noodzakelijke stappen om de integriteit van de automatiseringsomgeving te waarborgen.

Bron 1

Een geraffineerde vorm van digitale oplichting, aangeduid als de OPCOPRO-scam, maakt gebruik van kunstmatige intelligentie en gemanipuleerde WhatsApp-groepen om individuen financieel te benadelen. De werkwijze steunt op een combinatie van technologische automatisering en sociale beïnvloeding om een geloofwaardige investeringsomgeving te simuleren.

Het proces start wanneer een slachtoffer wordt toegevoegd aan een WhatsApp-groep waarin schijnbaar succesvolle investeringen in onder andere cryptocurrency worden besproken. De interacties in deze groepen worden grotendeels aangestuurd door kunstmatige intelligentie. Deze AI-gestuurde profielen voeren onderlinge discussies, delen vervalste succesverhalen en reageren op vragen van deelnemers. Door deze automatisering kunnen de daders een constante stroom van positieve berichten genereren, wat de schijn van een legitieme en winstgevende gemeenschap wekt.

De fraude is erop gericht het slachtoffer te bewegen tot het storten van fondsen op een onbetrouwbaar handelsplatform. De AI-bots binnen de groep fungeren hierbij als sociale bewijslast; zij bevestigen de betrouwbaarheid van het platform en oefenen indirect druk uit op het slachtoffer om niet achter te blijven bij de rest van de groep. Wanneer het slachtoffer overgaat tot investeren, worden de tegoeden direct door de fraudeurs ontvreemd.

Zodra er wordt geprobeerd om winsten op te nemen, stuiten gebruikers op technische blokkades of worden zij uit de communicatiekanalen verwijderd. Het gebruik van AI stelt criminelen in staat om deze operaties op grote schaal uit te voeren met een hoge mate van personalisatie, waardoor de oplichting moeilijker te identificeren is dan traditionele vormen van internetfraude. De inzet van geautomatiseerde profielen vervangt hierbij de noodzaak voor menselijke handlangers om de gesprekken gaande te houden.

Bron 1

De methodiek achter pig butchering, een vorm van langdurige online fraude waarbij slachtoffers financieel worden uitgekleed, ondergaat een ingrijpende professionalisering. Waar deze operaties voorheen voornamelijk werden uitgevoerd door gespecialiseerde criminele groepen, is er nu sprake van een Pig Butchering as a Service (PBaaS) model. De operatie genaamd Penguin fungeert hierbij als een centrale spil die alle noodzakelijke infrastructuur en data levert aan derden. Hierdoor kunnen ook minder technisch onderlegde actoren op grote schaal complexe fraudecampagnes opzetten, wat de drempel voor deelname aan dit type criminaliteit aanzienlijk verlaagt.

Het Penguin-ecosysteem biedt een breed scala aan diensten die essentieel zijn voor het succesvol uitvoeren van sociale manipulatie. Dit begint bij de toegang tot uitgebreide databases met gestolen persoonlijk identificeerbare informatie. Hoewel de basis van deze data vaak uit Aziatische bronnen afkomstig is, is het aanbod uitgebreid naar westerse accounts op platformen zoals Tinder, WhatsApp en Apple. Deze accounts worden op de ondergrondse markt aangeboden tegen variërende tarieven, afhankelijk van de mate van verificatie en de ouderdom van het account. Daarnaast worden karaktersets verkocht: collecties van gestolen foto's en profielinformatie waarmee geloofwaardige, fictieve identiteiten kunnen worden opgebouwd om het vertrouwen van slachtoffers te winnen.

Op technisch vlak voorziet Penguin in de volledige operationele infrastructuur. Dit omvat onder meer de levering van 4G- en 5G-routers, IMSI-catchers en speciale beheerplatformen zoals UWORK. Via deze platformen kunnen criminele organisatoren hun agenten aansturen, financiële stromen monitoren en de interactie met slachtoffers automatiseren. De software is in staat om websites geografisch te blokkeren voor specifieke regio's, wat wordt ingezet om detectie door opsporingsinstanties in risicogebieden te bemoeilijken. Bovendien worden er betaalsystemen zoals BCD Pay geïntegreerd, die gekoppeld zijn aan anonieme netwerken voor het witwassen van buitgemaakte cryptovaluta.

Een cruciaal onderdeel van de fraude is het gebruik van gemanipuleerde software. De aangeboden systemen kunnen worden gekoppeld aan legitieme handelsplatformen zoals MetaTrader. Hierdoor krijgen slachtoffers realtime financiële grafieken te zien die echter op vervalste gegevens zijn gebaseerd, om de illusie van winstgevende investeringen te wekken. De distributie van deze frauduleuze applicaties vindt vaak plaats buiten de officiële applicatiewinkels om, via het sideloaden van Android APK-bestanden of het gebruik van iOS-configuratieprofielen. Door de volledige automatisering en commodificatie van deze processen is pig butchering uitgegroeid van een lokale dreiging tot een geïndustrialiseerd mondiaal fraudemodel.

Bron 1

Een recente technische analyse heeft de fundamenten blootgelegd van ondergrondse handelsplaatsen voor gestolen creditcardgegevens. Tijdens het onderzoek zijn 28 unieke IP-adressen en 85 domeinen geïdentificeerd die actief worden gebruikt voor het hosten van zogenaamde carding-markten. Op deze platforms, die zijn ingericht als professionele webwinkels, worden financiële gegevens verhandeld tegen prijzen die variëren van 5 tot 150 dollar per creditcard. De waarde wordt hierbij bepaald door de kredietlimiet van de kaart en de aanwezigheid van bijbehorende persoonsgegevens.

Het onderzoek vond plaats tussen juli en december 2025. Er werd gebruikgemaakt van grootschalige scans op poort 80 en 443 om HTTP- en HTTPS-banners te analyseren. Door te filteren op specifieke termen zoals CVV, Dumps en Carding, konden onderzoekers de servers lokaliseren op het moment dat deze werden geconfigureerd. Deze aanpak maakte het mogelijk om de werkelijke serverlocaties te registreren voordat deze werden afgeschermd door Content Delivery Networks, die normaal gesproken de ware IP-adressen maskeren.

De technische infrastructuur vertoont duidelijke patronen. Veel van de geïdentificeerde IP-adressen hosten inlogpagina's en foruminterfaces die essentieel zijn voor de operaties van deze marktplaatsen. Bij de analyse van de gebruikte domeinnamen viel op dat de extensies .su, .cc en .ru het meest voorkomen. Criminelen maken gebruik van deze specifieke top-level domeinen vanwege het minder strikte registratiebeleid en de juridische voordelen die deze zones bieden binnen hun operationele beveiliging.

De bron van de verhandelde data is divers en omvat het volledige traject van transacties. Er wordt gebruikgemaakt van web-skimming, waarbij kwaadaardige code op legitieme webwinkels wordt geplaatst om betaalgegevens direct te onderscheppen. Daarnaast vormen datalekken bij centrale databases en fysieke skimming-apparatuur bij geldautomaten of betaalterminals belangrijke aanvoerlijnen. De gestolen informatie wordt vervolgens binnen een gestructureerde keten verwerkt en klaargemaakt voor de verkoop op de onderzochte platforms.

Door onderzoek naar X.509-certificaten konden verschillende infrastructuren aan elkaar worden gekoppeld. Deze methode helpt bij het identificeren van zogenaamde bulletproof hosting-omgevingen, waar illegale activiteiten vaak ongestoord kunnen plaatsvinden. Uit de analyse van de betrokken netwerken bleek dat veel van deze servers zijn ondergebracht bij providers in offshore-gebieden. De provider Privex werd hierbij vaker waargenomen als partij waar VPS-diensten worden afgenomen zonder strikte identificatieplicht. Dergelijke infrastructuren blijken in de praktijk vaak breder te worden ingezet dan enkel voor carding-activiteiten.

Bron 1

Er is een phishingcampagne actief waarbij de Guloader-malware wordt verspreid onder het mom van prestatiebeoordelingen van werknemers. De aanval maakt gebruik van e-mails die zogenaamd een functioneringsrapport over oktober 2025 bevatten. In de tekst van deze berichten wordt een gevoel van urgentie gecreëerd door te zinspelen op mogelijke ontslagen binnen de organisatie. Deze tactiek is erop gericht ontvangers te verleiden de bijlage te openen, waarbij misbruik wordt gemaakt van de vertrouwensband binnen de werkomgeving.

De bijlage bij deze e-mails bestaat uit een gecomprimeerd RAR-archief. In dit archief bevindt zich een uitvoerbaar NSIS-bestand met de naam staff record pdf.exe. Voor gebruikers bij wie de weergave van bestandsextensies in de systeeminstellingen is uitgeschakeld, verschijnt dit bestand als een regulier PDF-document. Zodra het bestand wordt uitgevoerd, start een infectieproces dat uit meerdere fasen bestaat om detectie door beveiligingssystemen te voorkomen.

Tijdens de infectie maakt de malware verbinding met een externe server om versleutelde shellcode te downloaden. In de huidige campagne wordt hiervoor een Google Drive-URL gebruikt. De gedownloade shellcode wordt vervolgens direct in het systeemgeheugen geïnjecteerd. Door deze techniek wordt de malware uitgevoerd zonder fysieke bestanden naar de harde schijf te schrijven, wat detectie door traditionele, op bestanden gebaseerde scans bemoeilijkt.

De uiteindelijke payload van deze aanval is de Remcos RAT, een remote access trojan die aanvallers volledige controle geeft over het geïnfecteerde systeem. Met deze software kunnen kwaadwillenden toetsaanslagen registreren, schermafbeeldingen maken, de webcam en microfoon bedienen en browsergegevens zoals wachtwoorden en geschiedenis extraheren. De malware onderhoudt een persistente verbinding met command-and-control-servers op de IP-adressen 196.251.116.219 via poorten 2404 en 5000.

Om de risico's te beperken, is het noodzakelijk om strikte e-mailfiltering toe te passen op verdachte bijlagen en de weergave van bestandsextensies op systemen af te dwingen. Geavanceerde oplossingen voor endpoint-detectie kunnen helpen bij het identificeren van de verschillende stadia van de aanvalsketen, waaronder de injectie in het geheugen en de communicatie met externe servers.

Bron 1

Bedrijfsnetwerken worden momenteel geconfronteerd met een campagne waarbij de ValleyRAT_S2-malware wordt ingezet voor industriële spionage en financiële diefstal. Deze dreiging is een in C++ geschreven Remote Access Trojan (RAT) die deel uitmaakt van de ValleyRAT-familie. De malware stelt aanvallers in staat om volledige controle over een besmet systeem te verkrijgen en langdurig onzichtbaar te blijven binnen de IT-infrastructuur van een organisatie.

Infectieroute en DLL side-loading
De verspreiding van de malware gebeurt hoofdzakelijk via gemanipuleerde software-installaties. Aanvallers maken gebruik van vervalste versies van productiviteitstools en AI-gedreven spreadsheet-generatoren. Ook via spearphishing-bijlagen en misbruikte software-updatekanalen wordt de payload binnengebracht.

Een kernaspect van de aanvalsmethode is DLL side-loading. Hierbij wordt een legitiem en digitaal ondertekend programmabestand misbruikt om een kwaadaardig DLL-bestand in te laden. Dit schadelijke bestand krijgt een naam die overeenkomt met een vertrouwde bibliotheek, zoals steam_api64.dll, waardoor beveiligingssoftware de activiteit minder snel als verdacht markeert. De bestanden worden vaak geplaatst in tijdelijke mappen, zoals de Temp-folder in de lokale AppData van de gebruiker.

Operationele capaciteiten en exfiltratie
Na activatie voert ValleyRAT_S2 uitgebreide systeemanalyses uit. De malware scant actieve processen, controleert registergegevens en legt verbinding met externe command-and-control-servers via een specifiek TCP-protocol. De trojan beschikt over functies om bestanden te uploaden en downloaden, systeemcommando's uit te voeren en toetsaanslagen te registreren (keylogging).

Deze functionaliteiten zijn specifiek gericht op het verzamelen van gevoelige informatie, waaronder inloggegevens voor internetbankieren, betaalgegevens en interne financiële rapportages. Om detectie te vermijden, kan de malware code injecteren in processen van vertrouwde applicaties die op het systeem aanwezig zijn.

Persistentie en watchdog-scripts
ValleyRAT_S2 is ontworpen om pogingen tot verwijdering te weerstaan. De malware maakt gebruik van een gelaagd persistentiesysteem via de Windows Task Scheduler en register-sleutels, zodat de software bij elke systeemstart automatisch wordt geactiveerd.

Een belangrijk technisch kenmerk is de implementatie van een watchdog-mechanisme via een batch-script genaamd monitor.bat. Dit script controleert voortdurend of het hoofdproces van de malware nog actief is. Indien het proces wordt beëindigd door een beheerder of door beveiligingssoftware, zorgt het script voor een automatische herstart van de malware. Voor een volledige opschoning van een besmet systeem is het noodzakelijk om niet alleen het actieve proces te stoppen, maar gelijktijdig alle geplande taken, scripts en tijdelijke configuratiebestanden te verwijderen.

Bron 1

Het landschap van criminaliteit binnen de cryptovalutasector heeft in 2025 een ongekend niveau bereikt. Illegale adressen ontvingen in totaal ten minste 154 miljard dollar, wat een stijging van 162 procent betekent ten opzichte van het voorgaande jaar. Deze groei wordt grotendeels toegeschreven aan natiestaten die blockchain-technologie op grote schaal inzetten om internationale sancties te omzeilen. Deze verschuiving markeert een punt waarbij geopolitieke spanningen zich direct manifesteren binnen blockchain-netwerken, wat nieuwe uitdagingen creëert voor regelgevende instanties en beveiligingsteams.

De afgelopen jaren is het ecosysteem van crypto-criminaliteit sterk geprofessionaliseerd. Analisten onderscheiden een evolutie in drie fasen: van individuele actoren (2009-2019) naar georganiseerde netwerken (2020-2024), tot de huidige fase waarin grootschalige activiteiten van natiestaten het ecosysteem fundamenteel herschikken. Een van de meest significante ontwikkelingen is de introductie van de door de roebel gedekte A7A5-token door Rusland in februari 2025. Deze infrastructuur verwerkte in minder dan een jaar tijd meer dan 93,3 miljard dollar aan transacties, wat de overgang markeert van theoretische sanctieontduiking naar grootschalige operationele uitvoering op de blockchain.

Naast Rusland speelden ook andere statelijke actoren een grote rol. Noord-Koreaans gelieerde hackers stalen in 2025 meer dan 2 miljard dollar. Een aanzienlijk deel hiervan was afkomstig van de exploitatie van de cryptobeurs Bybit in februari 2025, waarbij bijna 1,5 miljard dollar werd buitgemaakt. Dit geldt als de grootste digitale diefstal in de geschiedenis van cryptovaluta. Tegelijkertijd faciliteerden Iraanse proxy-netwerken witwasoperaties ter waarde van 2 miljard dollar via portefeuilles op sanctielijsten. Chinese netwerken zijn hierbij dominant geworden als leveranciers van volledige witwasinfrastructuren.

De technische analyse toont een duidelijke voorkeur voor specifieke activa: stablecoins zijn inmiddels goed voor 84 procent van al het illegale transactievolume. De voordelen van stablecoins, zoals koersstabiliteit en eenvoudige grensoverschrijdende overdraagbaarheid, maken ze tot het voorkeursmiddel voor het snel en veilig verplaatsen van waarde. Deze professionalisering van de infrastructuur ondersteunt een breed spectrum aan activiteiten, van ransomware-operaties tot sanctieontduiking op staatsniveau.

Bron 1

De mondiale dreiging van mobiele malware is in 2025 fors toegenomen, waarbij India momenteel het zwaarst getroffen land is met een stijging van 38 procent in het aantal incidenten. Het land is verantwoordelijk voor 26 procent van het wereldwijde mobiele malwareverkeer, gevolgd door de Verenigde Staten met 15 procent en Canada met 14 procent. Deze verschuiving in het dreigingslandschap toont een gerichte focus van aanvallers op regio's met een snelgroeiend mobiel ecosysteem.

Onderzoek wijst uit dat honderden kwaadaardige applicaties erin zijn geslaagd om officiële en vertrouwde platforms te infiltreren. Alleen al in de Google Play Store werden 239 malafide apps ontdekt die in totaal meer dan 42 miljoen keer zijn gedownload. Deze applicaties maken gebruik van geraffineerde vermommingen en presenteren zich vaak als legitieme tools voor productiviteit en workflow. Aanvallers richten zich specifiek op de categorie hulpprogramma's om misbruik te maken van het vertrouwen van gebruikers die mobiele apparaten intensief gebruiken voor hybride en extern werk.

De technische analyse van de malware laat zien dat backdoor- en botnet-functionaliteiten dominant zijn. De malwarefamilie IoT.Backdoor.Gen.LZ vormt met 85 procent het grootste aandeel in de detecties. De infectiemechanismen zijn gebaseerd op gelaagde injectietechnieken, waarbij een initiële payload secundaire modules downloadt die de communicatie met externe commando-servers tot stand brengen. Deze methode stelt aanvallers in staat om langdurig en onopgemerkt toegang te houden tot besmette apparaten, waardoor gevoelige data stapsgewijs kan worden geëxfiltreerd.

Sectoren met veel transacties en operationele afhankelijkheden worden het meest geviseerd. De retail- en groothandelsector voert de lijst aan met 38 procent van de aanvallen, gevolgd door de horeca en recreatie met 31 procent. De maakindustrie en de energiesector volgen met respectievelijk 16 en 8 procent. Om deze geavanceerde dreigingen het hoofd te bieden, is de inzet van architecturen op basis van continue verkeersinspectie en specifieke beveiliging voor mobiele eindpunten noodzakelijk om netwerkinfrastructuren te beschermen.

Bron 1

De cybersecuritysector signaleert een verschuiving in de werkwijze van aanvallers die zich richten op de Web3- en cryptocurrency-industrie. In plaats van traditionele phishing-methoden wordt er gebruikgemaakt van inbound social engineering. Hierbij worden slachtoffers naar kwaadaardige infrastructuren gelokt door middel van vervalste vacatures en sollicitatieprocedures, waarbij de aanvallers legitieme bedrijven imiteren of fictieve entiteiten opzetten.

Het proces start bij het plaatsen van vacatures op gespecialiseerde platformen zoals youbuidl.dev. Wanneer een kandidaat reageert, wordt de communicatie voortgezet via frauduleuze domeinen, zoals collaborex.ai. Tijdens de procedure krijgt het slachtoffer het verzoek om software te installeren die noodzakelijk zou zijn voor het video-interview. Het bestand, collaborex_setup.msi, fungeert echter als malware die na installatie een verbinding opzet met een Command and Control-server op IP-adres 179.43.159.106.

Door deze actie verkrijgen de aanvallers op afstand toegang tot het systeem. De malware is specifiek geconfigureerd om onopgemerkt te blijven voor standaard beveiligingssoftware. Het hoofddoel van de operatie is het buitmaken van private keys van cryptocurrency-wallets, inloggegevens en intellectueel eigendom. De dreiging is aanzienlijk omdat ontwikkelaars vaak persoonlijke wallets op hun systemen hebben staan of de betreffende software installeren op laptops die verbonden zijn met zakelijke netwerken van financiële instellingen en DeFi-protocollen.

Bron 1

Beveiligingsonderzoeker TwoSevenOneT heeft op 12 januari 2026 de tool EDRStartupHinder gepresenteerd. Deze software is ontworpen om antivirus- en Endpoint Detection and Response-oplossingen (EDR) uit te schakelen tijdens de vroege fase van het opstartproces van Windows. De tool maakt gebruik van de Windows Bindlink-functionaliteit om kritieke systeembestanden om te leiden. De effectiviteit van deze methode is aangetoond op Windows 11 versie 25H2, waarbij onder andere Windows Defender succesvol werd geblokkeerd.

Antivirus- en EDR-diensten zijn normaliter beveiligd tegen manipulatie door het gebruik van SYSTEM-rechten en Protected Process Light (PPL), wat voorkomt dat processen in de gebruikersmodus de werking kunnen verstoren. EDRStartupHinder omzeilt deze beveiliging door de infrastructuur waarvan deze diensten afhankelijk zijn te manipuleren voordat ze volledig actief zijn. De tool richt zich specifiek op DLL-bestanden in de System32-map die noodzakelijk zijn voor het laden van de beveiligingssoftware.

De methodiek van EDRStartupHinder begint met het registreren van een service die een hogere opstartprioriteit heeft dan de beveiligingsdiensten. Door gebruik te maken van de Windows Bindlink-techniek via de bindflt.sys-driver wordt een legitieme systeembibliotheek gekoppeld aan een vervalste, niet-ondertekende kopie. Wanneer de beveiligingsdienst vervolgens probeert op te starten, laadt deze de gemanipuleerde DLL. Vanwege de strikte handtekeningcontroles binnen de PPL-architectuur weigert het systeem de uitvoering van dit niet-ondertekende bestand, wat leidt tot een onmiddellijke zelf-beëindiging van de beveiligingsdienst.

Tijdens tests in een gecontroleerde omgeving werd de engine van Windows Defender, MsMpEng.exe, uitgeschakeld door de bibliotheek msvcp_win.dll om te leiden. Na een herstart activeerde de kwaadaardige service als eerste en forceerde de foutieve DLL-koppeling, waardoor de antivirusbescherming niet kon worden geactiveerd. Voor detectie en preventie is het noodzakelijk om toezicht te houden op het gebruik van bindlink.dll en de registratie van nieuwe services in groepen met hoge prioriteit. Aanvullende maatregelen omvatten het controleren van wijzigingen in de System32-map en het implementeren van uitgebreide logging op bestandssysteemniveau om dergelijke omleidingen te identificeren.

Bron 1

De dreigingsactor HawkSec beweert een omvangrijke dataset van het platform Discord te veilen. De collectie bestaat volgens de actor uit 78.541.207 bestanden, waaronder berichten, gegevens over spraaksessies, gebruikersacties en serverinformatie. De data is naar eigen zeggen verzameld gedurende een maandenlang project dat gebruikmaakte van openbare bronnen en inlichtingenmethodieken.

De aangeboden informatie is onderverdeeld in categorieën zoals metadata van servers en communicatielogs. HawkSec heeft via eigen kanalen aangekondigd dat de dataset beschikbaar is voor aankoop en biedt monsters van de data aan om de claim te onderbouwen. Uit de gedeelde informatie blijkt dat de focus lag op het verzamelen van gegevens van publieke servers, met een geschat gemiddelde van 1.200 leden per server.

Er is geen bewijs dat de technische infrastructuur van Discord zelf is gecompromitteerd. In plaats daarvan wijst alles op het grootschalig oogsten van gegevens via de API van het platform, een proces dat ook wel scraping wordt genoemd. Hoewel de verzamelde data afkomstig is uit publiek toegankelijke kanalen, brengt de aggregatie van dergelijke grote hoeveelheden informatie privacyrisico's met zich mee. Door deze gegevens te combineren met andere bronnen, kunnen individuele gebruikers mogelijk worden geïdentificeerd, wat kan leiden tot doxxing of gerichte phishing.

Dergelijke incidenten waarbij publieke Discord-data wordt verhandeld, zijn eerder gesignaleerd. In het voorgaande jaar werden op vergelijkbare wijze honderden miljoenen berichten van publieke servers aangeboden op gespecialiseerde fora. Discord hanteert het beleid dat informatie in openbare kanalen toegankelijk is voor iedereen, maar verbiedt het op grote schaal verzamelen van gegevens via geautomatiseerde tools voor commerciële of kwaadaardige doeleinden.

De claim van HawkSec is op dit moment gebaseerd op de door de actor verspreide berichten en afbeeldingen; een volledige onafhankelijke verificatie van de gehele dataset ontbreekt nog. Gebruikers van het platform kunnen de risico's beperken door hun privacy-instellingen en de zichtbaarheid van hun profiel op publieke servers kritisch te evalueren.

Een nieuw open-source instrument genaamd InvisibleJS stelt gebruikers in staat om JavaScript-broncode volledig onzichtbaar te maken binnen tekstbestanden. De tool maakt gebruik van steganografie, een techniek waarbij informatie wordt verborgen in andere gegevens. In dit specifieke geval wordt broncode omgezet naar onzichtbare Unicode-tekens, waardoor bestanden die voor het menselijk oog leeg lijken, in werkelijkheid volledige uitvoerbare programma's kunnen bevatten. Deze ontwikkeling roept vragen op binnen de beveiligingssector over de effectiviteit van visuele code-inspectie en statische analysesoftware bij het opsporen van kwaadaardige scripts.

De methodiek achter InvisibleJS berust op de omzetting van broncode naar een binaire string. Hierbij worden de binaire waarden gekoppeld aan specifieke Unicode-karakters met een breedte van nul, zoals de Zero Width Space (U+200B) en de Zero Width Non-Joiner (U+200C). Deze tekens worden door de meeste teksteditors en ontwikkelomgevingen niet visueel weergegeven. Om de verborgen instructies uit te voeren, wordt een kleine bootstrap-loader aan het bestand toegevoegd die de onzichtbare tekens tijdens runtime terugvertaalt naar leesbare code en deze direct executeert in de Node.js-omgeving.

Er zijn twee varianten van het hulpmiddel ontwikkeld om compatibiliteit met verschillende JavaScript-omgevingen te waarborgen. De eerste versie is geoptimaliseerd voor CommonJS en oudere Node.js-omgevingen, waarbij de uitvoering via de eval-functie verloopt. De tweede versie is specifiek ontworpen voor moderne ES Modules en maakt gebruik van dynamische imports voor de uitvoering van de code. Hoewel de functionele output van de scriptbestanden onveranderd blijft, is de broncode zelf voor beheerders en security-analisten niet meer waarneembaar zonder gespecialiseerde tooling.

Het gebruik van Unicode-karakters voor het versluieren van code is een techniek die al langer bekend is, maar met de komst van dergelijke open-source hulpmiddelen wordt de drempel voor de toepassing ervan verlaagd. Eerdere incidenten in de cybersecurity-praktijk hebben aangetoond dat vergelijkbare vormen van obfuscatie worden ingezet om malware-loaders en scripts in phishing-campagnes te verbergen voor beveiligingsscanners. Voor beveiligingsprofessionals betekent de beschikbaarheid van dergelijke instrumenten dat er een grotere noodzaak ontstaat voor het gebruik van Unicode-bewuste scanning en gedragsgebaseerde detectiemethoden om verborgen payloads in webapplicaties en serveromgevingen te identificeren.

Bron 1

Tijdens het afgelopen weekend hebben spelers van de battle royale-shooter Apex Legends te maken gehad met aanzienlijke verstoringen door externe actoren die de controle over spelpersonages overnamen. Het incident vond plaats tijdens actieve wedstrijden, waarbij aanvallers in staat waren om de invoer van spelers op afstand te manipuleren. Getroffenen meldden dat hun personages gedwongen werden om van de kaart te lopen of vreemd gedrag vertoonden, waarna vaak de verbinding met de server werd verbroken. Daarnaast werden nicknames van spelers in sommige gevallen gewijzigd naar 'RSPN Admin' nadat zij uit het spel waren verwijderd.

Ontwikkelaar Respawn reageerde zaterdag op de situatie met een officiële verklaring dat er sprake was van een actief beveiligingsprobleem waarbij een kwaadwillende partij externe controle uitoefende. Uit het initiële onderzoek van de uitgever bleek echter geen bewijs dat de aanvallers code konden installeren of uitvoeren op de machines van gebruikers, zoals het geval zou zijn bij een Remote Code Execution of injectie-aanval. Ondanks deze verzekering speculeerden spelers op basis van hun observaties dat de aanvallers mogelijk toegang hadden verkregen tot administratieve privileges of debugging-systemen van de server, wat ook het gebruik van geavanceerde valsspelsoftware mogelijk maakte.

Ongeveer zes uur na de bevestiging van het probleem meldde Respawn dat het incident was opgelost. Het bedrijf trad niet in detail over de exacte technische toedracht, maar benadrukte dat de strijd tegen valsspelen een continu proces is en dat rapportages vanuit de gemeenschap essentieel waren voor de snelle detectie. Dit voorval volgt op een grootschalig incident vorig jaar tijdens een Noord-Amerikaans toernooi, waarbij hackers wedstrijden compromitteerden en de finales moesten worden uitgesteld door Electronic Arts. Ondanks deze terugkerende veiligheidszorgen behoudt de titel een grote spelersbasis met naar schatting een half miljoen gelijktijdige gebruikers per dag.

Bron 1, 2, 3, 4, 5

In het afgelopen halfjaar hebben cybercriminelen in toenemende mate gebruikgemaakt van de zogeheten browser-in-the-browser (BitB) methode om gebruikers van Facebook te misleiden en hun inloggegevens te ontvreemden. Deze specifieke aanvalstechniek, die in 2022 werd ontwikkeld door beveiligingsonderzoeker mr.d0x, wordt inmiddels breed ingezet bij aanvallen op diverse online diensten. Onderzoekers van Trellix, die deze malafide activiteiten monitoren, stellen dat de gestolen accounts vervolgens worden gebruikt voor het verspreiden van oplichting, het verzamelen van persoonlijke gegevens of het plegen van identiteitsfraude.

Bij een browser-in-the-browser aanval worden bezoekers van een door de aanvaller gecontroleerde webpagina geconfronteerd met een vals pop-upvenster dat een inlogscherm toont. Dit venster wordt technisch gerealiseerd via een iframe dat de authentieke interface van legitieme platforms nabootst. De aanvallers kunnen hierbij de titel van het venster en de URL aanpassen, waardoor het visueel zeer lastig te onderscheiden is van een daadwerkelijk browservenster. Deze visuele misleiding maakt dat gebruikers, die vertrouwd zijn met standaard authenticatieprocessen, minder snel argwaan krijgen.

De recente phishingcampagnes die zich richten op Facebook-gebruikers maken gebruik van specifieke lokmiddelen om urgentie te creëren. Slachtoffers ontvangen e-mails die lijken te zijn verstuurd door advocatenkantoren of beveiligingsteams van Meta. In deze berichten wordt geclaimd dat er sprake is van auteursrechtinbreuk, dat het account onmiddellijk zal worden opgeschort, of dat er ongeautoriseerde inlogpogingen hebben plaatsgevonden. Om de detectie door beveiligingsfilters te ontwijken en de legitimiteit te vergroten, maken de criminelen gebruik van verkorte URL's en vervalste CAPTCHA-pagina's die de huisstijl van Meta imiteren.

In de laatste fase van de aanval wordt het slachtoffer verzocht in te loggen via het gemanipuleerde pop-upvenster. Naast het nabootsen van inlogpagina's hebben onderzoekers ook een groot aantal phishingpagina's aangetroffen die worden gehost op legitieme cloudplatforms zoals Netlify en Vercel. Deze pagina's bootsen het Privacy Center van Meta na en leiden gebruikers om naar formulieren die vermomd zijn als bezwaarprocedures, waarmee persoonlijke informatie wordt verzameld. Het misbruik van deze vertrouwde cloudinfrastructuur stelt aanvallers in staat om traditionele beveiligingsfilters te omzeilen.

De escalatie naar het gebruik van de browser-in-the-browser techniek wordt door experts gezien als een significante evolutie ten opzichte van standaard phishingcampagnes. De methode maakt diefstal van inloggegevens visueel bijna ondetecteerbaar. Een technisch onderscheidend kenmerk van deze valse vensters is echter dat ze, in tegenstelling tot legitieme browser-pop-ups, niet buiten het hoofdvenster van de browser gesleept kunnen worden. Omdat het iframe onderdeel is van de onderliggende pagina, blijft het venster hieraan verbonden. Naast het controleren van de beweegbaarheid van het venster, wordt aangeraden om bij accountmeldingen altijd handmatig naar de officiële URL te navigeren in een apart tabblad en tweefactorauthenticatie in te schakelen als extra beveiligingslaag.

Bron 1

Onderzoekers hebben een nieuwe malwarecampagne met de naam SHADOW#REACTOR geïdentificeerd. Deze campagne maakt gebruik van een complexe, gelaagde aanvalsketen op Windows-systemen om de Remcos RAT (Remote Administration Tool) te installeren. De operatie wordt gekenmerkt door een hoge mate van ontwijkingstechnieken, waarbij gebruik wordt gemaakt van legitieme systeemtools en versluierde scripts om buiten het zicht van beveiligingssoftware te blijven.

De infectie start met een versluierd Visual Basic Script genaamd win64.vbs. Dit script wordt uitgevoerd via het legitieme Windows-onderdeel wscript.exe en dient als eerste opstap naar een PowerShell-payload. Deze PowerShell-fase is geprogrammeerd om verbinding te maken met een externe server en fragmenten van tekstbestanden te downloaden. Een specifiek kenmerk van deze methode is dat de malware uitsluitend tekstgebaseerde bestanden gebruikt als tussenstap, wat de detectie door traditionele antivirusoplossingen bemoeilijkt. Het script bevat bovendien een controlemechanisme dat de integriteit van de gedownloade fragmenten verifieert voordat de volgende fase wordt ingezet.

Zodra de tekstfragmenten compleet zijn, worden deze in het geheugen gereconstrueerd tot een .NET-loader die is beveiligd met .NET Reactor. Deze loader voert diverse anti-debugging en anti-virtualisatietests uit om te controleren of de malware wordt geanalyseerd in een beveiligde omgeving of sandbox. Indien er geen sprake is van detectie door de malware zelf, wordt de uiteindelijke configuratie van de Remcos RAT opgehaald en geactiveerd.

Voor de finale uitvoering van de backdoor wordt MSBuild.exe misbruikt, een legitiem Microsoft-proces dat normaal gesproken wordt gebruikt voor het bouwen van applicaties. Door deze Living-off-the-Land Binary (LOLBin) in te zetten, kan de malware de kwaadaardige code uitvoeren onder de vlag van een betrouwbaar proces. De Remcos RAT stelt de aanvallers in staat om het geïnfecteerde systeem volledig op afstand te beheren, gegevens te onttrekken en langdurige toegang tot het netwerk te behouden.

De campagne is naar schatting breed opgezet en richt zich op zakelijke netwerken en het midden- en kleinbedrijf. De werkwijze vertoont kenmerken van 'initial access brokers', die toegang tot netwerken bemachtigen om deze later te verhandelen. Hoewel de tactieken wijzen op een modulair en veerkrachtig framework, is de campagne momenteel niet direct toe te schrijven aan een specifieke, bekende dreigingsactor.

Bron 1

Beveiligingsonderzoekers hebben details gepubliceerd over een complex malwareframework met de naam VoidLink. Deze dreiging is specifiek ontwikkeld voor het verkrijgen van langdurige en heimelijke toegang tot op Linux gebaseerde cloudomgevingen. De malware, die eind 2025 voor het eerst werd waargenomen, wordt gekenmerkt door een modulaire opbouw en geavanceerde ontwijkingstechnieken.

VoidLink is geschreven in de programmeertaal Zig en is ontworpen om betrouwbaar te functioneren binnen infrastructuren van grote cloudproviders zoals Amazon Web Services, Google Cloud, Microsoft Azure, Alibaba en Tencent. Het systeem kan identificeren of het actief is in een Docker-container of een Kubernetes-pod en past zijn gedrag daarop aan. Door de modulaire architectuur kunnen aanvallers via een speciale API meer dan dertig verschillende plug-ins inzetten om de functionaliteit van de malware uit te breiden.

Het framework beschikt over uitgebreide mogelijkheden voor post-exploitatie. De beschikbare plug-ins ondersteunen onder meer het verzamelen van inloggegevens, SSH-sleutels, API-keys en data uit broncodebeheersystemen zoals Git. Daarnaast faciliteert de malware laterale verplaatsing binnen netwerken en bevat het modules voor het ontsnappen uit containers naar de onderliggende host-systemen.

Om detectie te vermijden, maakt VoidLink gebruik van rootkit-functionaliteiten zoals eBPF en Loadable Kernel Modules (LKM), waarmee kwaadaardige processen voor het besturingssysteem verborgen blijven. De malware voert bij infectie een automatische scan uit van de aanwezige beveiligingssoftware om een risicoscore te berekenen en de meest effectieve ontwijkingsstrategie te bepalen. Indien de malware detecteert dat deze wordt geanalyseerd door debuggers of monitoringtools, kan deze zichzelf automatisch verwijderen om sporenonderzoek te bemoeilijken. De aansturing van de geïnfecteerde systemen vindt plaats via een centraal dashboard waarmee aanvallers op afstand taken beheren en nieuwe plug-ins kunnen laden.

Bron 1, 2

Een kwaadaardige browser-extensie voor Google Chrome, genaamd MEXC API Automator, is geïdentificeerd als malware die specifiek is ontwikkeld om digitale valuta te ontvreemden van het MEXC-handelsplatform. De software presenteert zich als een legitiem hulpmiddel voor het automatiseren van handelstransacties, maar misbruikt in werkelijkheid de API-functionaliteit om volledige toegang tot gebruikersaccounts te verkrijgen. De malware omzeilt traditionele inlogbeveiliging door actief te opereren binnen een reeds geauthenticeerde browsersessie van de gebruiker.

Het aanvalsmechanisme treedt in werking zodra de gebruiker de extensie heeft geïnstalleerd en de pagina voor API-beheer op de exchange bezoekt. De extensie injecteert een script dat op de achtergrond automatisch alle beschikbare machtigingen selecteert, inclusief de cruciale rechten om tegoeden op te nemen. Om detectie door de gebruiker te voorkomen, manipuleert de malware de gebruikersinterface middels CSS-code. Hierdoor wordt de visuele indicatie dat opnamerechten zijn geselecteerd verborgen, waardoor de gebruiker in de veronderstelling verkeert dat de aangemaakte sleutel slechts beperkte handelsrechten bezit.

Zodra het platform de nieuwe API-sleutel en de bijbehorende geheime code genereert en toont, worden deze gegevens direct uit de broncode van de webpagina gekopieerd. De gestolen informatie wordt vervolgens via een versleutelde verbinding geëxfiltreerd naar een infrastructuur die via Telegram wordt aangestuurd. Technische analyse van de code toont aan dat de data wordt verzonden naar een specifiek Telegram-bot-ID. Doordat deze communicatie verloopt via reguliere HTTPS-verzoeken en vanuit de vertrouwde browseromgeving, wordt het kwaadaardige verkeer in veel gevallen niet gedetecteerd door standaard netwerkbeveiliging.

Deze specifieke dreiging is gekoppeld aan een actor die opereert onder de naam jorjortan142. Het risico van deze aanvalsmethode is aanzienlijk, aangezien de aanvallers geen inloggegevens of wachtwoorden van het account zelf nodig hebben om schade aan te richten. Met de buitgemaakte API-sleutels, die doorgaans langdurig geldig blijven en minder frequent worden gecontroleerd dan inlogpogingen, kunnen criminelen via geautomatiseerde scripts direct transacties uitvoeren en wallets legen zonder verdere tussenkomst van het slachtoffer.

Bron 1

Een actieve malwarecampagne maakt gebruik van de gratis diensten van Cloudflare om AsyncRAT te verspreiden en detectie te ontwijken. Aanvallers zetten TryCloudflare-tunnels in om kwaadaardig command-and-control-verkeer te verbergen binnen legitieme netwerkstromen. De infectieketen start met phishing-e-mails die links bevatten naar ZIP-archieven op Dropbox. Deze archieven zijn vermomd als facturen, waarbij specifiek gebruik wordt gemaakt van Duitse bestandsnamen om een zakelijke context te simuleren en gebruikers te misleiden.

In het gedownloade archief bevindt zich een bestand met een dubbele extensie, zoals 'Rechnung-zu-Auftrag-W19248960825.pdf.url'. Hoewel dit bestand oogt als een PDF-document, betreft het een internetsnelkoppeling. Zodra een slachtoffer het bestand opent, wordt een onschadelijk PDF-document getoond om argwaan weg te nemen. Op de achtergrond initieert de snelkoppeling echter een verbinding via WebDAV naar een server die achter een TryCloudflare-domein is geplaatst. Vanaf deze locatie worden scripts opgehaald die de verdere infectie van het systeem in gang zetten.

Technische analyses tonen aan dat de aanvallers gebruikmaken van Windows Script Host om batchbestanden uit te voeren vanuit de tijdelijke map van de gebruiker. Een cruciaal onderdeel van de strategie is het downloaden en installeren van een legitiem, ingesloten Python 3.14.0-pakket in de lokale AppData-map. Doordat gebruik wordt gemaakt van officiële, ondertekende softwarecomponenten in plaats van bekende malware-bestanden, wordt detectie door traditionele beveiligingsoplossingen bemoeilijkt.

Om toegang tot het systeem te behouden, plaatsen de aanvallers batchbestanden in de opstartmap van Windows. Deze zorgen ervoor dat bij elke herstart van het systeem een Python-loader genaamd ne.py wordt uitgevoerd. Dit script injecteert de kwaadaardige payload vervolgens direct in het legitieme proces explorer.exe. Het eindresultaat is een actieve AsyncRAT-infectie die de aanvallers volledige controle geeft over de machine, inclusief mogelijkheden voor keylogging, schermopnames en het uitvoeren van externe commando's.

Bron 1

Er is een geavanceerde aanvalscampagne waargenomen waarbij kwaadwillenden legitieme beheersoftware inzetten om ongezien toegang te verkrijgen tot systemen van organisaties en individuen. Door gebruik te maken van gemanipuleerde PDF-bestanden installeren aanvallers zogeheten Remote Monitoring en Management-tools, zoals Syncro, SuperOps, NinjaOne en ConnectWise ScreenConnect. Deze methode maakt misbruik van het vertrouwen dat beveiligingssoftware heeft in deze standaard beheerprogramma's, waardoor ongeautoriseerde toegang tot machines mogelijk wordt gemaakt zonder directe detectie.

De aanval start met phishing-e-mails die ogenschijnlijk zakelijke documenten bevatten, zoals facturen, productbestellingen of betalingsoverzichten. Wanneer de ontvanger de bijgevoegde PDF opent, verschijnt er geen standaard document, maar een afbeelding die de inhoud maskeert of een foutmelding met de tekst dat het bestand niet geladen kan worden. Deze meldingen bevatten hyperlinks die het slachtoffer doorverwijzen naar vervalste websites die zich voordoen als Google Drive of een Adobe-omgeving. Op deze pagina's wordt de gebruiker verleid om een bestand te downloaden met een naam als Video_recorded_on_iPhone17.mp4, dat zich voordoet als een videobestand maar in werkelijkheid een uitvoerbaar installatiebestand is.

Volgens analyse van beveiligingsonderzoekers is deze campagne actief sinds oktober 2025, wat werd vastgesteld aan de hand van de digitale certificaten waarmee de installatiebestanden zijn ondertekend. De aanvallers gebruiken geldige certificaten om detectie door beveiligingsproducten te omzeilen. Aangezien RMM-tools zijn ontworpen voor legitieme administratieve taken en veelvuldig worden gebruikt door IT-dienstverleners, worden ze doorgaans niet geblokkeerd door firewalls of antivirusprogramma's. Dit creëert een blinde vlek in de netwerkbeveiliging waardoor aanvallers langdurige, persistente toegang tot het systeem kunnen verkrijgen.

Het technische infectieproces maakt gebruik van installatieprogramma's die zijn ontwikkeld met software zoals Advanced Installer of NSIS. Bij de installatie van Syncro RMM worden specifieke configuratieparameters meegegeven, waaronder een unieke sleutel en een specifiek klant-ID, om de gecompromitteerde machine direct te koppelen aan het beheersysteem van de aanvaller. De variant die gebaseerd is op de NSIS-downloader bevat scripts die op de achtergrond verbinding maken met externe servers om bestanden op te halen. Vervolgens wordt de RMM-software, zoals NinjaOne, in stille modus geïnstalleerd, zodat de gebruiker geen visuele indicatie krijgt dat er software op het systeem wordt geplaatst.

Bron 1

In het landschap van mobiele dreigingen is een nieuwe malwarevariant geïdentificeerd die financiële diefstal combineert met afpersingsmethoden. Deze Android-malware, aangeduid als deVixor, is sinds oktober 2025 actief en vertoont een opmerkelijke evolutie in aanvalstactieken. Beveiligingsexperts hebben inmiddels meer dan zevenhonderd samples van deze software geanalyseerd. De malware onderscheidt zich door niet alleen bankgegevens te ontvreemden, maar ook door de mogelijkheid om besmette apparaten op afstand te vergrendelen en losgeld te eisen.

De distributie van deVixor vindt plaats via misleidende websites die zich voordoen als legitieme automobielbedrijven. Bezoekers worden verleid met fictieve kortingen op voertuigen en aangezet tot het downloaden van een kwaadaardig APK-bestand. Na installatie maakt de malware verbinding met een command-and-control infrastructuur die wordt beheerd via Telegram en Firebase. Deze opzet stelt de beheerders in staat om geïnfecteerde toestellen centraal aan te sturen, updates uit te rollen en gestolen data via gescheiden serverkanalen weg te sluizen.

De primaire functionaliteit van de malware is gericht op het verzamelen van financiële inloggegevens en accountinformatie. De software scant sms-berichten op het toestel en filtert deze met behulp van specifieke zoekpatronen op bankgerelateerde trefwoorden, rekeningsaldi en verificatiecodes. In de huidige campagne richt de malware zich specifiek op klanten van meer dan twintig financiële instellingen, waaronder diverse Iraanse banken en internationale cryptocurrency-beurzen zoals Binance. Naast het uitlezen van berichten kan de malware via een overlay-techniek inlogschermen van bank-apps nabootsen om gebruikersgegevens direct bij invoer te onderscheppen.

Naast spionage beschikt deVixor over een ransomware-module. De aanvallers kunnen een commando versturen waarmee het scherm van het slachtoffer wordt vergrendeld. Op het geblokkeerde scherm wordt een bericht getoond waarin een betaling van 50 TRX (TRON cryptocurrency) wordt geëist naar een specifiek wallet-adres. Het toestel blijft onbruikbaar totdat aan deze eis is voldaan. Uit technisch onderzoek blijkt dat deze gijzelsoftware actief wordt ingezet en dat de functionaliteit continu wordt doorontwikkeld om detectie door beveiligingssoftware te omzeilen.

Bron 1

Op het zakelijke platform LinkedIn is een specifieke phishingcampagne waargenomen waarbij aanvallers gebruikmaken van gemanipuleerde reacties onder berichten van gebruikers. Via accounts die zich voordoen als onderdeel van de beveiliging of administratie van het platform, worden reacties geplaatst waarin valselijk wordt gesteld dat het account van de gebruiker is beperkt wegens een schending van het beleid. In deze berichten wordt de gebruiker opgedragen een externe link te volgen om de vermeende blokkade op te heffen via een verificatieproces.

De aanvalsmethode onderscheidt zich door het misbruik van de legitieme infrastructuur van LinkedIn. Onderzoek toont aan dat de aanvallers in bepaalde gevallen gebruikmaken van de officiële lnkd.in-url-verkorter. Doordat de hyperlink hierdoor oogt als een vertrouwd domein van het platform zelf, wordt de werkelijke bestemming gemaskeerd. Dit maakt verificatie van de link door de eindgebruiker complexer, met name in mobiele weergaven waar volledige url-inspectie vaak beperkt is. De links leiden via tussenliggende redirects naar frauduleuze domeinen die zijn ingericht om inloggegevens te onderscheppen.

LinkedIn heeft bevestigd op de hoogte te zijn van deze tactiek en verwijdert de betrokken nep-profielen en bedrijfspagina’s die namen en logo's van de dienst imiteren. Een woordvoerder van het platform benadrukt dat communicatie over accountbeperkingen of beleidsschendingen nooit plaatsvindt via openbare reacties onder berichten. Dergelijke notificaties worden uitsluitend via de officiële, beveiligde kanalen van het platform aan de accounthouder verstuurd.

De campagne vertoont kenmerken van geautomatiseerde bot-activiteit, gezien de snelheid en het volume waarmee de reacties worden geplaatst. Deze techniek, waarbij fraudeurs inhaken op bestaande conversaties om autoriteit uit te stralen, werd eerder waargenomen op andere sociale media, maar richt zich nu specifiek op de zakelijke gebruikers van LinkedIn en hun accountgegevens.

Bron 1

Cybersecurityonderzoekers hebben een geraffineerde web skimming-campagne blootgelegd die sinds begin 2022 actief is en zich richt op e-commerceplatforms. De aanvallers injecteren kwaadaardige JavaScript-code in checkout-pagina's om betalingsgegevens van grote netwerken zoals Mastercard, American Express en Visa te onderscheppen. Uit de analyse blijkt dat de infrastructuur achter deze aanvallen leunt op hostingfaciliteiten die via een Nederlandse entiteit worden beheerd, vermoedelijk om sancties te omzeilen.

De technische infrastructuur van deze campagne vertoont directe linken met een hostingprovider die eerder onderhevig was aan sancties. Na een rebranding wordt deze infrastructuur nu beheerd door de Nederlandse entiteit WorkTitans B.V. De aanvallers maken gebruik van domeinen zoals cdn-cookie.com om zwaar versluierde scripts te hosten. Deze scripts, vaak vermomd als reguliere webstatistieken of recorders, worden ingeladen op gecompromitteerde webwinkels.

Een onderscheidend kenmerk van deze specifieke malware is de focus op zelfbehoud en detectie-evasie binnen WordPress-omgevingen. De skimmer scant de Document Object Model-structuur van de webpagina continu op de aanwezigheid van de 'wpadminbar'. Dit element is specifiek voor de beheerdersbalk die zichtbaar wordt wanneer een beheerder is ingelogd op de site. Zodra de malware dit element detecteert, wordt een proces gestart waarbij het script zichzelf verwijdert van de pagina. Hiermee voorkomen de aanvallers dat sitebeheerders tijdens onderhoud of controle de kwaadaardige overlay opmerken.

De aanvalsmethodiek is specifiek geoptimaliseerd voor webshops die Stripe als betaalverwerker gebruiken. Het script controleert de lokale browseropslag van de bezoeker op een specifieke parameter. Indien deze parameter ontbreekt, wordt een vervalst betaalformulier over de legitieme interface geplaatst. Wanneer de consument zijn gegevens invult, genereert de pagina een foutmelding om de indruk van een typefout te wekken. Op de achtergrond worden op dat moment de creditcardgegevens, evenals de naam, het adres, het e-mailnummer en het telefoonnummer van het slachtoffer buitgemaakt.

De gestolen informatie wordt direct verzonden naar een externe server, waarna de malware zijn sporen uitwist. Het legitieme betaalformulier wordt hersteld en er wordt een markering in de browseropslag geplaatst. Deze markering zorgt ervoor dat het script bij een volgende poging van dezelfde gebruiker niet opnieuw wordt geactiveerd, waardoor de kans op ontdekking door het slachtoffer wordt geminimaliseerd. De gestolen data wordt verzameld op het domein https://www.google.com/search?q=lasorie.com. De werkwijze toont aan dat de actoren beschikken over diepgaande kennis van de interne werking van contentmanagementsystemen en browserfunctionaliteiten.

Bron 1, 2, 3

De beveiliging van grootschalige taalmodellen (LLM's) staat onder druk door geavanceerde jailbreak-aanvallen. Deze technieken zijn ontworpen om de veiligheidsbarrières van kunstmatige intelligentie te omzeilen, waardoor modellen gedwongen worden schadelijke of ongeoorloofde informatie te genereren. Traditionele verdedigingsmechanismen, zoals statische filters en supervised fine-tuning, blijken in de praktijk vaak onvoldoende effectief tegen complexe aanvallen die via opeenvolgende interacties worden opgebouwd. Om dit gat in de beveiliging te dichten, is het HoneyTrap-raamwerk ontwikkeld door onderzoekers van Shanghai Jiao Tong University, de University of Illinois en Zhejiang University.

HoneyTrap introduceert een dynamische verdedigingsstrategie die gebaseerd is op een samenwerking tussen vier gespecialiseerde agenten. In plaats van een aanval direct af te wijzen, wat de aanvaller de kans geeft zijn tactiek onmiddellijk aan te passen, maakt dit systeem gebruik van strategische misleiding. De eerste agent, de Threat Interceptor, vertraagt de respons en geeft vage antwoorden om het proces van de aanval te verstoren. De Misdirection Controller genereert vervolgens antwoorden die behulpzaam lijken, maar de aanvaller feitelijk wegsturen van de gewenste schadelijke informatie.

De aansturing van dit proces gebeurt door de System Harmonizer, die de intensiteit van de verdediging voortdurend aanpast op basis van de ernst van de gedetecteerde dreiging. Tegelijkertijd registreert de Forensic Tracker de gedragspatronen van de aanvaller om nieuwe aanvalsmethoden in kaart te brengen. Uit experimenten met modellen zoals GPT-4 en Gemini-1.5-pro blijkt dat de inzet van HoneyTrap de slagingskans van jailbreak-pogingen met gemiddeld 68,77 procent verlaagt ten opzichte van conventionele methoden.

Naast de directe preventie richt het systeem zich op het uitputten van de middelen van kwaadwillenden. De resultaten tonen aan dat aanvallers 149 procent meer middelen moeten inzetten om hun pogingen voort te zetten, terwijl de kans op een succesvolle misleiding door het systeem met 118 procent stijgt. Doordat de kwaliteit van de antwoorden voor legitieme gebruikers behouden blijft, biedt het raamwerk een effectieve methode om de weerbaarheid van taalmodellen te vergroten zonder de operationele bruikbaarheid te hinderen.

Bron 1

De afgelopen dagen is een opvallende stijging waargenomen in het aantal geregistreerde Indicators of Compromise binnen internationale dreigingsdatabases. In een periode van vier dagen zijn er meer dan 37.000 van deze indicatoren ingediend, waarvan er 18,3 duizend in de afgelopen vierentwintig uur werden vastgelegd. Deze forensische gegevens, die variëren van kwaadaardige IP-adressen tot specifieke bestandskenmerken, duiden op een hoge mate van activiteit op het gebied van digitale inbreuken en netwerkbedreigingen.

Naast de kwantitatieve toename van algemene dreigingssignalen is er melding gemaakt van de handel in een zeer specifiek en kostbaar beveiligingslek. Een actor op het gebied van cyberdreigingen claimt de beschikking te hebben over een zero-day kwetsbaarheid voor het Android-besturingssysteem. Het betreft een zogenaamde 1-click full-chain Remote Code Execution (RCE). Met een dergelijke exploit kan een aanvaller op afstand volledige controle over een apparaat verkrijgen nadat een gebruiker slechts één handeling verricht.

De vraagprijs voor deze specifieke toegang tot het Android-systeem is vastgesteld op 1.000.000 dollar. De aanwezigheid van dergelijke geavanceerde aanvalsmethoden op de digitale zwarte markt, gecombineerd met de snelle opeenvolging van tienduizenden nieuwe dreigingsindicatoren, schetst een actueel beeld van de huidige druk op digitale infrastructuren. De data wijst op een klimaat waarin zowel grootschalige automatische scans als de verkoop van zeer gerichte, dure exploits gelijktijdig plaatsvinden.

Op 13 januari 2026 is op het dark web een nieuwe website aangetroffen die wordt beheerd door de ransomware-groepering Orion. Analisten die zich richten op het monitoren van activiteiten op het Tor-netwerk ontdekten dat de site opereert via een verborgen onion-service. Bij de eerste waarneming bevatte de website gegevens van dertien vermeende slachtoffers. Deze digitale omgeving is specifiek ingericht voor het publiceren van gestolen informatie en fungeert als centraal punt voor de interactie tussen de daders en getroffen partijen.

Kort na de publieke bekendmaking van de leksite ontstond er twijfel over de authenticiteit van de claims. Onderzoekers hebben vastgesteld dat de lijst met slachtoffers die door Orion wordt genoemd, overeenkomsten vertoont met organisaties die eerder doelwit waren van de LockBit-ransomwaregroep. Dit duidt op een mogelijke herpublicatie van reeds bekende data. Een dergelijke werkwijze wordt vaker waargenomen bij nieuwe of minder bekende collectieven die hun profiel en dreigingsniveau kunstmatig proberen te vergroten door gebruik te maken van bestaande datalekken.

De technische infrastructuur van de groep is inmiddels in kaart gebracht en opgenomen in de Threat-Surface GitHub repository, een archief voor het systematisch vastleggen van digitale dreigingen. De analyse wijst uit dat Orion opereert volgens een Ransomware-as-a-Service model. De omgeving op het Tor-netwerk omvat specifieke locaties voor verschillende doeleinden, waaronder een inlogportaal voor partners, een interface voor cliënten en een pagina die de actuele status van de servers weergeeft. De aanwezigheid van een partnerportaal bevestigt een structuur waarbij de ransomware-software ter beschikking wordt gesteld aan derden voor de daadwerkelijke verspreiding.

Het is op dit moment nog onbevestigd of de Orion-groep verantwoordelijk is voor nieuwe incidenten of dat zij uitsluitend datalekken van derden aggregeren. De situatie wordt door specialisten nauwgezet gevolgd om de werkelijke aard van de dreiging vast te stellen. Door de registratie van de onion-adressen in openbare databases zijn de technische indicatoren beschikbaar voor verdere analyse. Dit stelt cybersecurity-experts in staat om de ontwikkeling van de infrastructuur en de methodiek rondom het faciliteren van toegang en het ontsluiten van gestolen informatie te monitoren.

Op de zwarte markt is op 13 januari 2026 een omvangrijke hoeveelheid gecompromitteerde toegangsgegevens te koop aangeboden. Het betreft een zogenaamde 'Initial Access Sale', waarbij kwaadwillenden toegang tot digitale infrastructuren verkopen aan derden. Dit aanbod omvat tienduizend webshells, vijfduizend toegangen tot WHMCS-beheersystemen en meer dan vijftigduizend gecompromitteerde domeinen.

De aard van de aangeboden data is technisch van aard en heeft directe gevolgen voor de integriteit van webservers. Webshells bieden de mogelijkheid om op afstand controle te verkrijgen over een server, terwijl WHMCS-software wereldwijd de standaard vormt voor de automatisering van webhostingbedrijven en domeinregistraties. Toegang tot dergelijke systemen stelt onbevoegden in staat om klantomgevingen, databases en facturatieprocessen te manipuleren. De omvang van de gecompromitteerde domeinen wijst op een wijdverspreid risico voor websitebeheerders. Deze verkoop van toegangsrechten dient vaak als voorstadium voor verdere cyberaanvallen, zoals de diefstal van data of de inzet van kwaadaardige software.

Op 13 januari 2026 is er informatie naar buiten gekomen over een dreigingsactor die beweert een geavanceerde zero-day kwetsbaarheid voor het Android-besturingssysteem te verhandelen. De aangeboden exploit heeft een vraagprijs van 1.000.000 dollar. Een dergelijke prijsstelling is indicatief voor de ernst van de kwetsbaarheid en de mate waarin deze de beveiligingsmechanismen van mobiele apparaten kan omzeilen.

De technische specificaties van de claim duiden op een '1-click full-chain Remote Code Execution' (RCE). In de praktijk betekent dit dat een aanvaller in staat zou zijn om op afstand volledige controle over een toestel te verkrijgen via een keten van kwetsbaarheden. De term '1-click' wijst erop dat er slechts een minimale handeling van de eindgebruiker nodig is om de aanval te activeren. Omdat het een zero-day kwetsbaarheid betreft, is het onderliggende lek op dit moment nog niet gedicht door de softwareontwikkelaar, wat een direct risico vormt voor de veiligheid van gegevens op getroffen systemen.

De handel in dergelijke 'full-chain' exploits vindt doorgaans plaats in het ondergrondse circuit, waar digitale wapens worden verkocht aan kapitaalkrachtige actoren. Hoewel de specifieke technische details en de exacte versies van Android die kwetsbaar zijn niet publiekelijk zijn gedeeld door de verkoper, onderstreept dit incident de voortdurende dreiging van gerichte aanvallen op mobiele infrastructuren waarbij gebruik wordt gemaakt van nog onbekende beveiligingslekken.

Er is een significante stijging waargenomen in het aantal Browser-in-the-Browser (BitB) aanvallen, waarbij cybercriminelen gebruikmaken van geavanceerde webtechnologieën om authenticatieprocessen na te bootsen. Bij deze aanvalsmethode wordt via HTML, CSS en JavaScript een pop-upvenster gesimuleerd binnen de bestaande browseromgeving. Dit venster is visueel identiek aan legitieme inlogschermen van diensten zoals Microsoft, Facebook en Steam, inclusief een adresbalk die een correcte URL toont. Het doel is om de gebruiker te misleiden zodat deze inloggegevens invoert in de veronderstelling dat het een veilig Single Sign-On (SSO) proces betreft.

Onderzoek toont aan dat aanvallers hun methoden diversifiëren afhankelijk van het beoogde platform. Bij aanvallen gericht op Facebook-accounts worden gebruikers geconfronteerd met gefingeerde meldingen over accountopschorting of juridische waarschuwingen. In de gaming-sector, met name gericht op Steam-gebruikers, worden slachtoffers via platforms zoals YouTube gelokt met beloftes van gratis virtuele goederen. Microsoft-gebruikers worden doorgaans benaderd met verzoeken om in te loggen voor het bekijken van documenten. Om detectie door geautomatiseerde beveiligingsscanners te voorkomen, worden slachtoffers in veel gevallen eerst langs een functionerende CAPTCHA-pagina geleid alvorens zij de daadwerkelijke phishing-interface bereiken.

De drempel voor het uitvoeren van dergelijke aanvallen is verlaagd door de integratie van BitB-modules in commerciële Phishing-as-a-Service (PhaaS) pakketten. Recente analyses wijzen uit dat toolkits zoals Sneaky2FA en Raccoon0365 hun functionaliteit hebben uitgebreid met deze specifieke browser-simulaties. Hierdoor kunnen ook minder technisch onderlegde criminelen gebruikmaken van inlogvensters die visuele inspectie door de gebruiker doorstaan. Zolang authenticatie voornamelijk gebaseerd blijft op wachtwoorden, blijft deze methode effectief; hardware-gebonden sleutels en FIDO-protocollen zijn immuun voor deze vorm van credential harvesting, maar de adoptie hiervan is nog niet universeel.

Technisch onderscheid tussen een legitiem authenticatievenster en een BitB-aanval is mogelijk door de beperkingen van web-elementen te observeren. Een fundamenteel kenmerk van de BitB-techniek is dat het gesimuleerde venster onderdeel is van de Document Object Model (DOM) van de hoofdpagina. Dit betekent dat het venster niet buiten de grenzen van de browser-tab kan worden gesleept, in tegenstelling tot een legitiem pop-upvenster dat als zelfstandig systeemproces functioneert. Daarnaast zullen wachtwoordmanagers bij een BitB-aanval geen gegevens invullen, aangezien de software detecteert dat het daadwerkelijke domein van de webpagina niet overeenkomt met de dienst die grafisch wordt weergegeven.

Bron 1

Proton VPN heeft officieel aangekondigd dat de ondersteuning voor verouderde OpenVPN-configuratiebestanden wordt gestaakt. Deze wijziging is van toepassing op alle bestanden die vóór september 2023 door gebruikers zijn gedownload voor handmatige vpn-installaties. Gebruikers die na 28 februari 2026 verbinding willen blijven maken met de vpn-servers via een handmatige OpenVPN-configuratie, dienen voor die deadline nieuwe configuratiebestanden te downloaden en te installeren.

De noodzaak voor deze update is het gevolg van de implementatie van nieuwe OpenVPN-certificaten. De provider biedt diverse manieren om verbinding te maken, waaronder eigen applicaties en de optie om configuratiebestanden te gebruiken in combinatie met externe software. De oude certificaten die in de bestanden van vóór september 2023 zijn verwerkt, zullen na de gestelde deadline niet langer worden geaccepteerd door de serverinfrastructuur.

In de toelichting classificeert de provider het OpenVPN-protocol als verouderd, traag en omvangrijk in vergelijking met moderne alternatieven. Als gevolg hiervan wordt de ondersteuning voor OpenVPN binnen de officiële Proton VPN-applicaties momenteel afgebouwd. Er wordt geadviseerd om gebruik te maken van de eigen apps of over te stappen op het WireGuard-protocol of het Stealth-protocol, die betere prestaties leveren. Handmatige OpenVPN-configuraties worden enkel nog aangeraden voor specifieke systemen die geen ondersteuning bieden voor modernere protocollen.

Daarnaast is er een bredere trend zichtbaar in de vpn-sector met betrekking tot het OpenVPN-protocol. Zo is de volledige uitfasering van OpenVPN bij andere aanbieders, zoals Mullvad, gepland voor 15 januari 2026. Bij Proton VPN blijft het protocol vooralsnog beschikbaar voor handmatige configuraties, mits de bestanden zijn bijgewerkt naar de meest recente versie met de nieuwe certificaten.

Bron 1

De hackergroep die in 2024 verantwoordelijk was voor het binnendringen van de systemen van de Nederlandse politie, heeft een nieuwe spionagecampagne uitgevoerd gericht op defensiepersoneel in Oekraïne. Tussen oktober en december 2025 zijn functionarissen van de Oekraïense strijdkrachten bestookt met de malware PluggyApe. Het Computer Emergency Response Team van Oekraïne (CERT-UA) schrijft de aanvallen toe aan de Russische groepering Void Blizzard, ook bekend onder de naam Laundry Bear. Deze actoren wisten eerder in Nederland gevoelige contactgegevens van tienduizenden politieagenten buit te maken.

De aanvallers hanteerden bij deze recente campagne een werkwijze die sterk leunt op manipulatie via mobiele platformen. Doelwitten werden via berichtendiensten als Signal en WhatsApp benaderd met een verzoek om een website van een vermeende liefdadigheidsinstelling te bezoeken. Daar werd hen gevraagd een beveiligd archiefbestand te downloaden. Dit bestand bevatte echter geen documenten, maar kwaadaardige software verpakt in PIF-bestanden of direct de PluggyApe-payload. Om detectie door beveiligingssoftware te omzeilen, maakten de daders gebruik van PyInstaller om de malware te bundelen.

Gedurende de campagne hebben de aanvallers hun methoden verfijnd. Vanaf december 2025 werd een tweede, geavanceerdere versie van PluggyApe ingezet. Deze variant maakt voor de communicatie gebruik van het MQTT-protocol en past betere technieken toe om analyse te bemoeilijken. Een opvallend kenmerk is dat de malware de adressen van de aansturingsservers niet vast in de code heeft staan, maar deze ophaalt van legitieme openbare platformen zoals Rentry en Pastebin.

CERT-UA benadrukt in hun analyse dat mobiele apparaten een steeds groter risico vormen, omdat deze vaak minder streng worden beveiligd dan zakelijke netwerken. De aanvallers wisten hun geloofwaardigheid te vergroten door gebruik te maken van gecompromitteerde accounts en Oekraïense telefoonnummers. Doordat zij in de communicatie blijk gaven van gedetailleerde kennis over de functie en organisatie van het slachtoffer, konden zij de menselijke interactie succesvol misbruiken voor het plaatsen van de backdoor.

Bron 1

Cloud-marketplace Pax8 heeft bevestigd dat er door een menselijke fout interne bedrijfsinformatie van ongeveer 1.800 Managed Service Provider partners is blootgesteld. Het incident vond plaats op 13 januari 2026 toen een medewerker per ongeluk een spreadsheet met vertrouwelijke gegevens via e-mail verstuurde naar een groep van minder dan veertig partners in het Verenigd Koninkrijk. Hoewel de verzendlijst beperkt was, bevatte de bijlage gedetailleerde informatie over een aanzienlijk deel van het partnernetwerk, voornamelijk gevestigd in het Verenigd Koninkrijk en Canada.

Het onbedoeld gedeelde bestand omvatte meer dan 56.000 dataregels met commerciële details. De informatie bestond onder andere uit namen van partnerorganisaties, identiteiten van eindklanten, specifieke Microsoft-licentiegegevens en vernieuwingsdata voor contracten. Ook financiële indicatoren zoals bruto- en nettoboekingen en de regio-indeling waren zichtbaar in de spreadsheet. Pax8 heeft aangegeven dat het bestand geen direct herleidbare persoonsgegevens bevatte, maar wel gevoelige inzichten geeft in de klantportefeuilles en prijsstructuren van de betrokken dienstverleners.

Direct na het constateren van de fout heeft de distributeur contact opgenomen met de ontvangers met het dringende verzoek de e-mail en de bijlage te verwijderen. Het bedrijf voert controles uit om te garanderen dat de data niet verder wordt verspreid. De veiligheid van het achterliggende platform en de operationele systemen is volgens de organisatie niet aangetast door dit specifieke voorval.

De aard van de gelekte gegevens brengt risico's met zich mee voor de betrokken partijen. Waarnemingen uit de sector wijzen erop dat kwaadwillenden interesse tonen in de dataset. De combinatie van klantnamen, softwaregebruik en contractdata stelt aanvallers in staat om zeer gerichte acties uit te voeren, zoals business email compromise of phishingcampagnes die inspelen op naderende licentieverlengingen.

Bron 1, 2

Onderzoekers van het beveiligingsbedrijf Varonis hebben een aanvalsmethode geïdentificeerd, genaamd Reprompt, waarmee sessies van Microsoft Copilot konden worden overgenomen. Deze techniek stelde aanvallers in staat om via een kwaadaardige URL toegang te krijgen tot de AI-assistent van een gebruiker en vervolgens op afstand commando's te geven om gevoelige informatie te ontvreemden. De aanval vereist slechts één klik van het slachtoffer op een gemanipuleerde, legitiem ogende link.

De werking van Reprompt berust op het misbruiken van de 'q'-parameter in de URL van Copilot, waarmee instructies direct in het taalmodel kunnen worden geladen. De onderzoekers ontdekten dat ze de ingebouwde veiligheidsfilters konden omzeilen door gebruik te maken van de 'double-request' techniek. Hierbij krijgt Copilot de opdracht om een actie tweemaal uit te voeren en de resultaten te vergelijken. Omdat de filters van Microsoft in de onderzochte configuratie voornamelijk de eerste reactie controleerden, werd de beveiliging bij de tweede poging gepasseerd. Via een opeenvolging van verzoeken (chain-requests) kon de server van de aanvaller vervolgens ongemerkt gegevens blijven opvragen.

De kwetsbaarheid maakte gebruik van de bestaande authenticatie van de gebruiker. Hierdoor kon een aanvaller toegang blijven houden tot de sessie, zelfs nadat de gebruiker het tabblad van Copilot had gesloten. Omdat de schadelijke commando's pas na de eerste klik vanaf de server van de aanvaller werden verzonden, konden beveiligingstools aan de kant van de client de diefstal van gegevens niet detecteren op basis van de initiële link.

Het lek is op 31 augustus 2025 door de onderzoekers gemeld aan Microsoft. Op 13 januari 2026, tijdens de maandelijkse Patch Tuesday, heeft Microsoft een beveiligingsupdate uitgebracht die dit probleem verhelpt. Het defect had uitsluitend betrekking op de persoonlijke versie van Copilot; de zakelijke versie, Microsoft 365 Copilot, was niet vatbaar vanwege aanvullende beveiligingslagen zoals Purview-auditing. Hoewel er geen bewijs is dat de methode buiten de onderzoekssituatie is misbruikt, is het installeren van de meest recente Windows-beveiligingsupdates noodzakelijk om dit risico uit te sluiten.

Bron 1

Het World Economic Forum (WEF) in Davos heeft aan de vooravond van de jaarlijkse bijeenkomst het Global Risk Report gepubliceerd. Uit dit rapport blijkt dat de prioriteiten van wereldwijde leiders op het gebied van risicobeheersing zijn verschoven. Voor het jaar 2026 worden niet langer klimaatrisico's, maar cyberdreigingen als het grootste gevaar beschouwd. Deze ontwikkeling wordt gedreven door een combinatie van geopolitieke fragmentatie en de snelle opkomst van kunstmatige intelligentie (AI).

De aard van digitale criminaliteit ondergaat een significante verandering. Waar voorheen de focus van cybersecurity vooral lag op het voorkomen van afpersing door het platleggen van IT-systemen, is fraude inmiddels uitgegroeid tot het meest dominante misdrijf. Uit de data blijkt de omvang van deze problematiek: 73 procent van de ondervraagde leiders is het afgelopen jaar direct of indirect in aanraking gekomen met fraudegevallen.

De invloed van kunstmatige intelligentie op het cyberlandschap wordt als cruciaal ingeschat. Ongeveer 94 procent van de ondervraagden verwacht dat AI in 2026 de belangrijkste factor zal zijn voor veranderingen in de cyberwereld. Het gebruik van deze technologie zorgt ervoor dat aanvallen sneller worden uitgevoerd en de detectie ervan complexer wordt.

Er ontstaan nieuwe kwetsbaarheden binnen organisaties door onder meer datalekken, fouten in automatisering en prompt-injecties. Het rapport waarschuwt dat de snelheid waarmee AI-toepassingen worden geïmplementeerd groter is dan de snelheid waarmee de bijbehorende expertise en governance binnen organisaties worden opgebouwd.

Bron 1

Uit een grootschalige analyse van 4.700 toonaangevende websites blijkt dat het ongeoorloofd benaderen van gevoelige gegevens door applicaties van derden in twee jaar tijd met 25 procent is gestegen. Waar in 2024 nog 51 procent van de externe scripts toegang zocht tot data zonder zakelijke rechtvaardiging, is dit aandeel begin 2026 opgelopen tot 64 procent. Deze stijging is met name kritiek binnen de overheids- en onderwijssectoren.

Onder de noemer Web Exposure Management worden de risico's geclassificeerd die ontstaan door de integratie van externe tools zoals analytics, marketingpixels, content delivery networks (CDN's) en betalingsmodules. Elke externe verbinding vergroot het aanvalsoppervlak. Een compromittering van een dergelijke leverancier stelt aanvallers in staat om code te injecteren die rechtstreeks in de browser van de eindgebruiker inloggegevens onderschept of betalingsgegevens steelt.

Ongeoorloofde toegang en beheertekortkomingen

De onderzoekers spreken van een groeiend gat in de governance. In veel organisaties worden applicaties door marketing- of digitale teams geïmplementeerd zonder toezicht van de IT-beveiligingsafdeling. Dit leidt tot configuraties waarbij applicaties standaard toegang krijgen tot het volledige Document Object Model (DOM) van een webpagina. Hierdoor kunnen scripts data uitlezen uit velden die niet relevant zijn voor hun functie.

Het onderzoek wijst specifieke tools aan als voornaamste bronnen van deze blootstelling:

• Google Tag Manager is verantwoordelijk voor 8 procent van alle geconstateerde overtredingen van ongeoorloofde toegang.
• Shopify-integraties maken 5 procent van de gevallen uit.
• De Facebook Pixel wordt in 4 procent van de implementaties aangemerkt als over-gepermissioneerd, waarbij gevoelige invoervelden worden gescand die niet benodigd zijn voor functionele tracking.

Van de applicaties die actief zijn binnen betalingsomgevingen (payment frames), blijkt 47 procent geen aantoonbare zakelijke noodzaak te hebben om daar aanwezig te zijn.

Impact op de publieke infrastructuur

Er is een duidelijke verschuiving zichtbaar in de doelwitten van kwaadaardige activiteiten op client-side niveau. Binnen de overheidssector explodeerde het aantal incidenten van 2 procent naar 12,9 procent. In de onderwijssector vertoont inmiddels 14,3 procent van de onderzochte sites (één op de zeven) tekenen van actuele compromittering. Ter vergelijking: de verzekeringssector wist door strengere governance de kwaadaardige activiteit met 60 procent te verlagen naar een niveau van 1,3 procent.

Volgens de verzamelde data zijn budgettaire beperkingen bij 34 procent van de organisaties de voornaamste reden voor het achterblijven van adequate beveiliging. Een tekort aan gespecialiseerd personeel wordt door 31 procent als blokkade genoemd.

Discrepantie tussen prioriteit en uitvoering

Hoewel 81 procent van de security-verantwoordelijken web-aanvallen als een topprioriteit beschouwt, heeft slechts 39 procent specifieke beveiligingsoplossingen voor dit probleem geïmplementeerd. Ongeveer 24 procent van de organisaties vertrouwt uitsluitend op algemene hulpmiddelen zoals een Web Application Firewall (WAF). Deze tools zijn echter niet ontworpen om de specifieke risico's van externe scripts op de browser van de eindgebruiker te monitoren of te blokkeren.

De Facebook Pixel, aanwezig op 53,2 procent van de geanalyseerde websites, vormt een potentieel systeemrisico door zijn alomtegenwoordigheid. Functies zoals 'Automatic Advanced Matching' kunnen deze pixels transformeren in onbedoelde datascrapers. Een eventuele beveiligingsbreuk bij een dergelijke centrale speler zou de schaal van eerdere supply chain-aanvallen, zoals het Polyfill-incident uit 2024, aanzienlijk kunnen overtreffen door miljoenen sites gelijktijdig te treffen.

Bron 1

De snelle integratie van AI-agents in bedrijfsprocessen zorgt voor een fundamentele verandering in de manier waarop organisaties hun digitale infrastructuur beheren. Waar AI voorheen voornamelijk werd ingezet voor passieve taken zoals het genereren van tekst of code, vervullen agents nu actieve rollen binnen afdelingen als personeelszaken, IT-beheer en klantenservice. Deze systemen suggereren niet alleen acties, maar voeren ze zelfstandig uit in operationele systemen, variërend van het aanpassen van toegangsrechten tot het wijzigen van productieconfiguraties.

Om deze agents breed inzetbaar en schaalbaar te maken, worden ze vaak ingericht als gedeelde bronnen die meerdere gebruikers en workflows bedienen. In de praktijk betekent dit dat agents werken met centrale service-accounts, API-sleutels of OAuth-machtigingen die vaak zeer ruime bevoegdheden bevatten. Deze opzet is bedoeld om operationele frictie te minimaliseren, maar zorgt er tegelijkertijd voor dat de agent over meer permissies beschikt dan de individuele gebruikers die de agent aansturen.

Deze architectuur tast de werking van traditionele toegangscontrolesystemen aan. Wanneer een medewerker een AI-agent opdracht geeft, voert de agent deze handeling uit onder zijn eigen identiteit en niet onder die van de gebruiker. Hierdoor ontstaat een situatie waarin gebruikers indirect acties kunnen initiëren of data kunnen inzien waarvoor zij zelf geen directe autorisatie hebben. Omdat auditlogs en activiteitenverslagen de acties toeschrijven aan de AI-agent, gaat de context van de oorspronkelijke aanvrager verloren. Dit bemoeilijkt de controle op naleving van veiligheidsprotocollen en beleid.

Een specifiek risico dat hierdoor ontstaat, is de ongeautoriseerde omleiding van autorisatiepaden. Wanneer een agent binnen zijn eigen ruime bevoegdheden reageert op een legitiem lijkende vraag van een gebruiker, kan er gevoelige informatie worden gedeeld zonder dat er sprake is van een technische misconfiguratie of een directe schending van het beveiligingsbeleid. De agent handelt immers binnen de hem toegewezen rechten, ook als die de rechten van de aanvrager overstijgen.

Traditionele Identity and Access Management (IAM) systemen zijn gericht op de interactie tussen mensen en systemen, waardoor zij beperkt zicht bieden op deze nieuwe vorm van tussenkomst door agents. Voor organisaties wordt het daarom steeds belangrijker om de relatie tussen gebruikers, agents en kritieke data continu in kaart te brengen. Het monitoren van de kloof tussen de bevoegdheden van gebruikers en die van de door hen aangestuurde AI-agents is essentieel om onbedoelde toegangstrajecten te identificeren en de integriteit van de bedrijfsbeveiliging te waarborgen.

Bron 1

Onderzoekers hebben details bekendgemaakt over een actieve malwarecampagne die een kwetsbaarheid in de open-source c-ares-bibliotheek exploiteert. De aanval maakt gebruik van DLL side-loading bij een ondertekend binair bestand dat geassocieerd wordt met GitKraken om beveiligingscontroles te omzeilen en diverse soorten malware te installeren.

De aanvalsmethode berust op het koppelen van een kwaadaardige versie van libcares-2.dll aan een legitieme versie van ahost.exe. Dit specifieke uitvoerbare bestand is digitaal ondertekend en wordt doorgaans gedistribueerd als onderdeel van de GitKraken Desktop-applicatie. Door het kwaadaardige DLL-bestand in dezelfde directory als het kwetsbare binaire bestand te plaatsen, maken de aanvallers gebruik van search order hijacking. Hierbij voert het systeem de inhoud van de gemanipuleerde DLL uit in plaats van de legitieme variant, wat de aanvallers volledige code-executie binnen een vertrouwd proces oplevert.

De campagne richt zich op een breed scala aan schadelijke software. Onder de gedistribueerde payloads bevinden zich trojans en stealers zoals Agent Tesla, CryptBot, Formbook, Lumma Stealer en Vidar Stealer. Daarnaast worden Remote Access Trojans (RATs) zoals Remcos RAT, Quasar RAT, DCRat en XWorm ingezet om persistente toegang op afstand te verkrijgen. De doelwitten van deze activiteiten zijn voornamelijk medewerkers in de financiële sector, inkoop, supply chain en administratie binnen de olie- en gassector en de import- en exportsector.

Analyse van de gebruikte bestanden wijst uit dat de malware wordt verspreid onder diverse namen die inspelen op zakelijke thema's. Voorbeelden hiervan zijn namen die verwijzen naar offertes (RFQ), aankooporders (PO) en achterstallige facturen, vaak vermomd met een dubbele extensie zoals .pdf.exe. De lokberichten zijn opgesteld in verschillende talen, waaronder Engels, Spaans en Portugees.

Naast deze technische exploitatie is er een toename waargenomen in phishingmethoden die de Browser-in-the-Browser (BitB) techniek gebruiken. Hierbij wordt via een iframe een vervalst authenticatiescherm in een legitiem browservenster geladen. Deze methode wordt gebruikt om inloggegevens te ontfutselen door een visueel identieke inlogomgeving te simuleren. Er is bewijs dat deze phishingactiviteiten, die vaak gebruikmaken van infrastructuur op cloudplatforms, al sinds medio 2025 plaatsvinden. De campagne vertoont verder overlap met processen waarbij Dropbox-links en ZIP-archieven worden gebruikt om infectieketens via Windows Script Host-bestanden te initialiseren.

Bron 1

In december 2025 werd een nieuwe Ransomware-as-a-Service (RaaS) operatie gedetecteerd onder de naam Sicarii. De groep presenteert zich met een opvallende Israëlische en Joodse identiteit, waarbij gebruik wordt gemaakt van de naam van een historische Joodse verzetsgroep uit de eerste eeuw. Hoewel de groep beweert ideologisch gedreven te zijn, vertoont de operatie diverse inconsistenties die vragen oproepen over de werkelijke herkomst en motivatie van de actoren.

De technische opzet van de ransomware bevat een specifieke geografische blokkade. Voordat de malware tot actie overgaat, controleert deze de systeeminstellingen op kenmerken zoals de Israëlische tijdzone, de aanwezigheid van een Hebreeuws toetsenbord en Israëlische IP-adressen. Indien deze kenmerken worden gevonden, stopt de uitvoering. Ondanks deze focus op een Israëlische identiteit, vindt de werving en communicatie op ondergrondse fora hoofdzakelijk plaats in de Russische taal. Taalkundig onderzoek naar de Hebreeuwse uitingen van de groep wijst bovendien op het gebruik van vertaalmachines, gezien de aanwezigheid van grammaticale fouten die ongebruikelijk zijn voor moedertaalsprekers.

De aanvalsketen begint met een fase waarin de malware probeert vast te stellen of deze in een gesloten analyseomgeving of sandbox wordt uitgevoerd. Als dit het geval is, wordt een gefingeerde foutmelding getoond over een mislukte initialisatie van het geheugen. Zodra een legitieme omgeving is bevestigd, start een uitgebreid proces van data-exfiltratie. De malware richt zich op het verzamelen van systeemreferenties, browsergegevens en data uit communicatieplatformen zoals Slack, Discord, WhatsApp en Telegram. Ook wordt gezocht naar informatie over cryptovaluta-wallets. De gestolen gegevens worden naar een externe opslaglocatie verzonden voordat de eigenlijke versleuteling plaatsvindt.

Op netwerkniveau voert de ransomware actieve verkenningen uit. Het scant het lokale netwerk op kwetsbare systemen en maakt daarbij onder andere gebruik van een exploit voor Fortinet-apparatuur (CVE-2025-64446). Voor de versleuteling van bestanden hanteert de groep het AES-GCM-algoritme met 256-bit sleutels. Bestanden die zijn aangetast, krijgen de extensie .sicarii. Om herstel van het systeem na de aanval te bemoeilijken, activeert de malware een destructief script dat tijdens de volgende systeemstart vitale opstartbestanden corrumpeert en schijfbeheerfuncties misbruikt om data definitief te wissen.

De operationele aanwezigheid van de groep is relatief nieuw; het primaire communicatiekanaal op Telegram werd pas in november 2025 geregistreerd. Tot op heden is er slechts één slachtoffer officieel door de groep geclaimd. De combinatie van Russische communicatie, gebrekkig Hebreeuws en de nadrukkelijke visuele branding met historische symbolen suggereert dat de gepresenteerde identiteit mogelijk een vorm van misleiding is. Experts onderzoeken momenteel of er sprake is van een 'valse vlag'-operatie waarbij een specifieke nationale identiteit wordt aangewend om de werkelijke achtergrond van de daders te verhullen.

Bron

De grootschalige integratie van kunstmatige intelligentie binnen de zakelijke markt zorgt voor een toenemende onbalans tussen technologische vooruitgang en digitale veiligheid. Uit een onderzoek onder tweehonderd Amerikaanse organisaties blijkt dat de snelheid van AI-implementatie heeft geleid tot significante gaten in de zichtbaarheid van cyberrisico's. Veel organisaties blijken momenteel niet in staat om de nieuwe aanvalsvectoren en kwetsbaarheden die met AI gepaard gaan volledig in kaart te brengen.

Het ontbreken van overzicht op de inzet van AI-systemen vormt een fundamenteel beveiligingsrisico. Bedrijven hebben vaak onvoldoende zicht op de gegevensstromen die door externe en interne AI-modellen lopen, wat het identificeren van datalekken of ongeautoriseerde toegang bemoeilijkt. Deze beperkte transparantie zorgt ervoor dat beveiligingsteams niet tijdig kunnen reageren op incidenten die voortvloeien uit het gebruik van deze nieuwe technologieën.

In de praktijk blijkt dat de druk om AI-toepassingen snel uit te rollen vaak ten koste gaat van de noodzakelijke risicoanalyses en security-protocollen. Hierdoor ontstaat een situatie waarin de technologische infrastructuur sneller complexer wordt dan de beheersmaatregelen kunnen bijhouden. Het gebrek aan centrale controle op het gebruik van AI-tools vergroot de kans op onvoorziene blootstelling van gevoelige bedrijfsinformatie en verzwakt de algehele cyberweerbaarheid van de organisatie.

De onderzoeksresultaten duiden op een noodzaak voor een herijking van het risicobeheer. Zolang de integratie van AI-systemen niet gepaard gaat met een evenredige toename in monitoring en governance, blijven er blinde vlekken bestaan die door kwaadwillenden kunnen worden benut. Voor organisaties die streven naar een veilige digitale transformatie is het dichten van deze zichtbaarheidskloof een essentiële voorwaarde om de continuïteit en integriteit van hun netwerken te waarborgen.

Bron

Noord-Koreaanse actoren hebben een geavanceerde social engineering-campagne gelanceerd die specifiek gericht is op softwareontwikkelaars. Deze operatie, bekend onder de naam Contagious Interview, maakt gebruik van nepvacatures om slachtoffers te lokken. De aanvallers doen zich voor als recruiters van organisaties zoals Meta2140 en benaderen doelwitten via platforms als LinkedIn met aanbiedingen voor technische functies. Het uiteindelijke doel van deze campagne is het stelen van inloggegevens en cryptocurrency-wallets door middel van gecompromitteerde technische assessments.

Het infectieproces begint wanneer ontwikkelaars worden gevraagd om een repository te downloaden die zogenaamd bedoeld is als technische beoordeling. De malware maakt gebruik van een meertraps infectiesysteem dat is ontworpen om detectie te omzeilen. De gevaarlijkste vector betreft een verborgen configuratie voor taken in Visual Studio Code. Zodra een ontwikkelaar de projectmap opent om de code te bekijken of AI-geassisteerde inspectie inschakelt, wordt een verborgen taak automatisch uitgevoerd zonder dat expliciete code-executie door de gebruiker vereist is.

Naast de VS Code-vector zijn er applicatielogica-hooks ingebed in de servercode. Legitiem ogende functies activeren hierbij het downloaden en uitvoeren van de payload. Als deze methoden falen, probeert de aanval een kwaadaardige npm-afhankelijkheid te installeren. Deze redundante methoden zorgen ervoor dat een infectie succesvol kan plaatsvinden, zelfs wanneer slachtoffers voorzichtigheid betrachten door directe code-executie te vermijden.

Na activering downloadt de malware een Node.js-controller die volledig in het systeemgeheugen draait. Deze controller implementeert vijf gespecialiseerde modules om gevoelige gegevens te stelen. Een keylogger en screenshot-module monitoren de gebruikersactiviteit en uploaden de resultaten naar de command server van de aanvaller. Een bestandsgrabber scant de home-directory op configuratiebestanden en SSH-sleutels, terwijl een klembordmonitor zoekt naar cryptocurrency-adressen. Daarnaast richt een browser-stealer zich op databases van Chrome, Brave en Opera om inloggegevens en wallet-informatie te ontvreemden.

Vervolgens wordt een tool voor toegang op afstand ingezet die via socket.io verbinding maakt met de infrastructuur van de aanvaller, waardoor willekeurige shell-commando's kunnen worden uitgevoerd. Na de Node.js-fase zet de malware Python-payloads in om persistentie te waarborgen. Op Windows-systemen creëert de malware injecties in de opstartmap en geplande taken die legitieme Windows-processen zoals RuntimeBroker.exe nabootsen. Ook wordt de XMRig-software gedownload voor het minen van cryptocurrency. De malware verbergt gestolen data en handhaaft zijn aanwezigheid in verborgen mappen zoals .npm, .n2 of .n3.

Onderzoekers van SEAL Intel hebben de campagne geïdentificeerd na incidenten bij meerdere slachtoffers binnen één maand. Analyse van de commit-geschiedenis en metadata toonde aan dat de malware afkomstig is van bekende Noord-Koreaanse IT-werkers die eerder betrokken waren bij frauduleuze projecten zoals Ultra-X. De tijdstempels van de commits kwamen consequent overeen met de Koreaanse standaardtijd.

Systemen die tekenen van infectie vertonen, vereisen volledige rotatie van inloggegevens en migratie van cryptocurrency-wallets naar nieuwe adressen vanaf schone apparaten. Voor geïnfecteerde Windows-systemen wordt een volledige herinstallatie van het besturingssysteem noodzakelijk geacht vanwege de persistentiemechanismen op registerniveau. Ontwikkelaars wordt geadviseerd automatische taakuitvoering in VS Code onmiddellijk uit te schakelen en verificatie van werkruimtevertrouwen in te schakelen.

Bron

De ransomware-groepering DragonForce heeft haar operaties uitgebreid naar een volledig Ransomware-as-a-Service model, waarbij zowel Windows-systemen als VMware ESXi-omgevingen als doelwit worden gekozen. Uit technisch onderzoek naar de payload blijkt dat de groep gebruikmaakt van aangepaste code die afkomstig is uit eerdere lekken van de LockBit 3.0- en Conti-ransomware. De aanvallers verkrijgen doorgaans toegang tot bedrijfsnetwerken via kwetsbare Remote Desktop Protocol-verbindingen, waarna zij met behulp van tools zoals Cobalt Strike en SystemBC zijwaartse bewegingen binnen het netwerk uitvoeren om kritieke systemen te identificeren.

De versleutelingsmethode van DragonForce is gericht op snelheid en efficiëntie. Voor de encryptie van bestanden wordt een combinatie van het ChaCha8-algoritme en RSA-4096 gebruikt. Om de impact bij grootschalige systemen te maximaliseren, past de software bij omvangrijke bestanden, zoals virtuele schijven, een techniek van gedeeltelijke versleuteling toe waarbij slechts specifieke segmenten van de data worden gecodeerd. Aan elk getroffen bestand wordt een metadatablok van 534 bytes toegevoegd, waarin de versleutelde decryptiesleutel en configuratieparameters over de gebruikte versleutelingsmodus zijn opgeslagen.

Onderzoekers hebben een werkende decryptor geïdentificeerd die herstel mogelijk maakt voor zowel Windows- als ESXi-omgevingen. De hersteltool voor Windows richt zich op bestanden met de extensie .RNP, terwijl de ESXi-variant specifiek zoekt naar de extensie .RNP_esxi en een unieke acht-byte markering genaamd de build_key controleert. Deze analyse van de executieflow, die loopt van de initiële configuratie-ontsleuteling tot het beëindigen van actieve processen en de uiteindelijke datablokkade, biedt technische kaders voor incident responders om infecties te herkennen en te mitigeren zonder op losgeldeisen in te gaan.

Bron

In cybercrime zit de economie van datadiefstal verweven in een complex netwerk van digitale financiële processen. Recente rapportages onthullen hoe cybercriminelen gestolen data inzetten om financiële winsten te genereren via geavanceerde witwastactieken, met name het gebruik van stablecoins. Deze dollar-gekoppelde digitale valuta maken het mogelijk om financiële transacties te voeren zonder de noodzaak van een conventionele bankrekening. Dit artikel werpt licht op de methodieken waarmee cybercrime-markten hun inbreuken omzetten in liquide middelen en de uitdagingen die dit met zich meebrengt voor beveiligingsteams.

Een typisch voorbeeld begint wanneer kwaadwillenden binnenbreken in een bedrijf en miljoenen aan gegevens verzamelen, waaronder inloggegevens en creditcardnummers. Deze data worden op gespecialiseerde forums verhandeld, waarna hackers kleine delen van de informatie aanschaffen. Via gestolen inloggegevens worden accounts gehackt en worden geld en tegoeden naar digitale wallets verplaatst. Uiteindelijk worden deze tegoeden omgezet in stablecoins, vaak via grote handelsparen zoals BTC USDT, wat het analyseren van de real-time prijsdata waardevol maakt voor het opsporen van mogelijk verdachte geldstromen.

Stablecoins bieden aanzienlijke voordelen voor cybercriminelen, met name door de mogelijkheid tot snellere internationale transacties in vergelijking met traditionele bankmethoden. Dit heeft geleid tot veelzijdige witwastactieken waarbij misdadige organisaties beginnen op minder strikt gereguleerde platforms om geldstromen te verbergen. Ze schakelen pas over naar strengere financiële diensten nadat ze denken dat hun transacties voldoende zijn versluierd. Door gebruik te maken van mixers en cross-chain bridges verleggen zij het geld over verschillende blockchain-netwerken, waardoor tracing efforts complexer worden.

De afgelopen jaren waren er internationale inspanningen om stablecoin-witwasconstructies af te breken. Wetshandhavers hebben door het afbreken van criminele infrastructuren zicht gekregen op hoe deze digitale misdaadmarkten opereren. Wanneer markten sluiten of worden overgenomen, komen gedetailleerde transactiegegevens aan het licht, die de basis vormen voor verbetering van opsporingsmodellen.

De gedurfde adaptatiestrategieën van cybercriminelen tegen toenemende regulering en sancties geven aan hoe inventief deze markten zijn. Ze wisselen vaak van stablecoins en ontwikkelen complexe netwerken van financiële transacties om wetgevende blokkades te omzeilen, met name wanneer zij te maken hebben met sanctie-ontwijking.

Om de risico's effectief te beheren, moeten beveiligings-, fraude- en compliance-teams gebruikmaken van concrete witwastypologieën en signalen van on-chain activiteiten koppelen aan andere vormen van inbraaktelemetrie. Dit vereist een gecoördineerde benadering die gebruikmaakt van de nieuwste analysetechnieken om verdachte activiteitensignalen af te stemmen op bekende patronen binnen het cybercriminelenlandschap.

De implementatie van stevige KYC- en transactiecontroles, specifiek voor stablecoin-transacties, biedt financiële dienstverleners een krachtige tool om de aantrekkingskracht van hun diensten voor cybercriminaliteit te verminderen. Dit benadrukt dat een robuuste aanpak van cybergerelateerde financiële misdaad niet alleen de verantwoordelijkheid is van gespecialiseerde teams binnen een organisatie, maar een onmisbaar onderdeel van de algehele veiligheidsstrategie hoort te vormen.

Bron

In 2026 opereren veel Security Operations Centers nog steeds volgens methodieken die jaren geleden zijn ontworpen, met tools en processen die niet volledig zijn afgestemd op het huidige dreigingslandschap. Gezien de toename in zowel het volume als de complexiteit van cyberdreigingen, blijkt dat verouderde praktijken de behoeften van analisten onvoldoende ondersteunen. Dit leidt in de praktijk vaak tot vertragingen in onderzoeken en incidentrespons. Er zijn specifieke beperkende gewoonten die voorkomen dat beveiligingsteams gelijke tred houden met aanvallers.

Ondanks de vooruitgang in beveiligingstechnologie vertrouwen veel analisten nog zwaar op handmatige validatie en analyse van verdachte monsters. Deze benadering zorgt voor vertraging bij elke stap, van het verwerken van bestanden tot het schakelen tussen verschillende tools en het handmatig correleren van bevindingen. Workflows die sterk afhankelijk zijn van menselijke handelingen vormen vaak de diepere oorzaak van alarmmoeheid en een vertraagde prioritering, wat vooral problematisch is bij de grote hoeveelheden meldingen die typisch zijn voor grote ondernemingen. Moderne operationele centra verschuiven daarom naar workflows die geoptimaliseerd zijn voor automatisering. Door gebruik te maken van geautomatiseerde analyse-omgevingen kunnen teams dreigingen op volledige schaal onderzoeken in een beveiligde omgeving. Deze systemen zijn in staat om interactieve elementen, zoals CAPTCHA's en QR-codes die kwaadaardige activiteiten maskeren, zonder directe menselijke tussenkomst te analyseren. Hierdoor kunnen analisten zich concentreren op taken met een hogere prioriteit en daadwerkelijke incidentbestrijding.

Daarnaast blijkt het uitsluitend vertrouwen op statische scans en reputatiecontroles ontoereikend. Hoewel deze methoden nuttig zijn, bieden open-source inlichtingendatabases vaak verouderde indicatoren die niet direct worden bijgewerkt. Dit laat de infrastructuur kwetsbaar voor de nieuwste aanvallen. Aanvallers blijven hun tactieken verfijnen met unieke payloads en ontwijkingstechnieken die detectie op basis van handtekeningen onmogelijk maken. Effectieve beveiligingsteams implementeren daarom gedragsanalyse als kernonderdeel van hun operaties. Het in real-time uitvoeren van bestanden en URL's verschaft direct inzicht in kwaadaardige intenties, zelfs als het gaat om nog onbekende dreigingen. Dynamische analyse blootlegt de volledige uitvoeringsstroom, wat essentieel is voor het detecteren van geavanceerde dreigingen en het verkrijgen van diepgaand inzicht in het gedrag van een aanvaller.

Een derde belemmerende factor is het gebruik van niet-gekoppelde tools. Een geoptimaliseerde workflow vereist dat processen niet geïsoleerd van elkaar plaatsvinden. Wanneer een SOC voor elke taak afzonderlijke oplossingen gebruikt, ontstaan er problemen rondom rapportage, tracering en handmatige verwerking. Het gebrek aan integratie tussen verschillende beveiligingsoplossingen creëert hiaten in de workflow, wat risico's met zich meebrengt en de onderzoekstijd verhoogt. Het prioriteren van integratie tussen systemen zoals SIEM, SOAR en EDR is noodzakelijk om deze kloof te dichten. Dit zorgt voor een naadloos proces en biedt analisten een volledig en gecentraliseerd beeld van de aanvalsketen, wat de efficiëntie en doorvoersnelheid van analyses aanzienlijk verbetert.

Bron

De beveiliging van kunstmatige intelligentie binnen organisaties vereist een fundamentele heroriëntatie. Waar de focus voorheen lag op de integriteit van de AI-modellen zelf, wijzen recente incidenten uit dat de werkelijke risico’s liggen in de workflows waarin deze modellen opereren. Aanvallers richten zich steeds minder op het hacken van de onderliggende algoritmen en steeds meer op de context en de koppelingen tussen verschillende applicaties.

Kwetsbaarheden in de praktijk

De noodzaak voor deze nieuwe kijk op beveiliging wordt onderstreept door recente diefstallen van chatgegevens. Twee browserextensies die zich voordeden als AI-assistenten, slaagden erin gegevens te ontvreemden van circa 900.000 gebruikers. Tegelijkertijd is aangetoond dat prompt-injecties, verborgen in code-repositories, AI-programmeerhulpen kunnen manipuleren om malware uit te voeren op lokale systemen. In beide gevallen bleef het AI-model intact, maar werd de workflow rondom de interactie met het model misbruikt.

Risicofactoren van AI-integraties

AI-systemen worden momenteel ingezet om complexe taken te automatiseren, zoals het samenvatten van interne documenten en het koppelen van gegevens uit verschillende databases. Omdat AI-agenten werken op basis van waarschijnlijkheid en context in plaats van harde programmacode, ontbreekt een inherent begrip van vertrouwensgrenzen. Dit creëert nieuwe aanvalsmogelijkheden waarbij kwaadwillenden de context waarin de AI opereert manipuleren.

Bestaande beveiligingsmechanismen blijken vaak ontoereikend voor deze specifieke dreigingen:

• In tegenstelling tot traditionele software maakt AI geen onderscheid tussen veilige instructies en onveilige input. Een kwaadaardige opdracht in een tekstdocument wordt door de AI behandeld als een legitieme instructie.
• Anomaliedetectie wordt bemoeilijkt omdat het raadplegen van grote hoeveelheden data door een AI-assistent vaak overeenkomt met normaal werkverkeer.
• Statische beveiligingsregels zijn onvoldoende voor de dynamische aard van AI-processen, die voortdurend van nieuwe databronnen of updates worden voorzien.

Maatregelen voor workflowbeveiliging

Een effectieve verdediging vereist dat de volledige workflow als beveiligingsperimeter wordt beschouwd. Dit omvat een volledige inventarisatie van alle AI-toepassingen binnen een netwerk, inclusief niet-geautoriseerde tools en extensies. Het beperken van de rechten van AI-agenten is hierbij een kernpunt; zij dienen enkel toegang te hebben tot de strikt noodzakelijke databronnen.

Daarnaast is het noodzakelijk om filters in te stellen die de uitvoer van AI-systemen controleren op gevoelige informatie voordat deze de werkomgeving verlaat. Beveiligingsstrategieën moeten niet langer uitsluitend vertrouwen op de veiligheid van het model, maar op een gelaagde controle van de gehele keten van invoer, verwerking en uitvoer.

Bron

Onderzoek heeft een omvangrijk netwerk van meer dan 18.000 actieve command-and-control (C2) servers aan het licht gebracht die worden gehost binnen Chinese infrastructuur. Deze servers zijn verspreid over 48 verschillende hostingproviders en vormen een aanzienlijk onderdeel van de wereldwijde kwaadaardige infrastructuur. Het grootschalige misbruik van deze netwerken bemoeilijkt de detectie voor cybersecurity-experts, omdat aanvallers hun indicatoren voortdurend wijzigen om buiten het zicht van traditionele beveiligingsmethoden te blijven.

Uit de analyse van een periode van drie maanden blijkt dat C2-servers verantwoordelijk zijn voor ongeveer 84 procent van alle waargenomen kwaadaardige activiteiten binnen de onderzochte Chinese hostingomgevingen. Phishing-infrastructuur beslaat ongeveer 13 procent van het totaal, terwijl open mappen en publieke indicatoren van compromittering samen minder dan 4 procent uitmaken. De dominantie van C2-servers wijst op een sterke voorkeur van aanvallers voor stabiele infrastructuren die langdurige en gecoördineerde campagnes tegen diverse doelwitten kunnen ondersteunen.

De verdeling van deze servers over verschillende providers laat een sterke concentratie zien. China Unicom is de grootste host met circa 9.000 gedetecteerde C2-servers, wat neerkomt op bijna de helft van het totale netwerk. Grote cloudplatformen zoals Alibaba Cloud en Tencent huisvesten elk ongeveer 3.300 van deze servers. De populariteit van dergelijke cloudproviders bij kwaadwillenden wordt verklaard door de snelheid waarmee nieuwe systemen kunnen worden opgezet en de hoge beschikbaarheid die deze platformen bieden.

Wat betreft de gebruikte malware is er een duidelijk patroon zichtbaar van herhaaldelijk misbruik van specifieke frameworks. Het Mozi-botnet voert de lijst aan met 9.427 unieke IP-adressen, wat meer dan de helft van alle C2-activiteit vertegenwoordigt. Daarnaast wordt het ARL-framework veelvuldig aangetroffen met 2.878 eindpunten. Dit duidt op een wijdverbreid misbruik van tools die oorspronkelijk zijn ontworpen voor post-exploitatie en security-testen voor kwaadaardige doeleinden.

Bron

De beruchte dreigingsactor Turla heeft een vernieuwde versie van de Kazuar v3 loader in gebruik genomen. Deze malware is uitgerust met geavanceerde technieken om moderne beveiligingssystemen te omzeilen en werd in januari 2026 gedetecteerd. De aanvalsketen is complex en maakt gebruik van een meerstapsinfectie die begint met een ogenschijnlijk onschadelijk VBScript. Dit script activeert vervolgens een native loader en verschillende versleutelde Kazuar-payloads, wat wijst op een diepgaande kennis van de interne werking van het Windows-besturingssysteem.

De infectie start specifiek met een VBScript-bestand genaamd 8RWRLT.vbs. Dit bestand downloadt diverse componenten van een server op het IP-adres 185.126.255.132, die zich in Oekraïne bevindt. Tijdens de eerste fase wordt een legitiem installatieprogramma voor een printerstuurprogramma van Hewlett-Packard misbruikt in combinatie met een kwaadaardige DLL. Deze methode, bekend als DLL-sideloading, zorgt ervoor dat de malware wordt uitgevoerd onder de vlag van een betrouwbaar proces.

Het script creëert daarnaast meerdere versleutelde payloads die worden uitgevoerd binnen het Windows COM-subsysteem. Hierdoor kan de malware zich voordoen als legitieme systeeminteractie en is het in staat om persistentie op het systeem te behouden zonder direct op te vallen voor traditionele beveiligingssoftware. De gebruikte infrastructuur vertoont gelijkenissen met eerdere campagnes waarbij samenwerking tussen verschillende dreigingsgroepen zoals Gamaredon en Turla werd waargenomen.

Een opvallend kenmerk van Kazuar v3 is de implementatie van technieken om Event Tracing for Windows (ETW) en de Antimalware Scan Interface (AMSI) te passeren. Dit zijn de primaire monitoringsystemen binnen Windows voor het detecteren van kwaadaardige activiteiten. Door gebruik te maken van hardware-breakpoints en integratie in het systeem, slaagt de loader erin deze controles te omzeilen zonder de bestanden daadwerkelijk aan te passen, wat detectie door endpoint-beveiligingssystemen aanzienlijk bemoeilijkt.

Bron

Beveiligingsonderzoekers hebben een nieuwe vorm van malware ontdekt, genaamd MonetaStealer, die zich specifiek richt op gebruikers van macOS. De dreiging werd voor het eerst vastgesteld op 6 januari 2026 door onderzoekers van Iru. De malware verspreidt zich via social engineering en maakt gebruik van misleidende bestandsnamen om slachtoffers te infecteren. In een specifiek waargenomen geval vermomde de malware zich als een Windows-uitvoerbaar bestand met de naam Portfolio_Review.exe, terwijl het in werkelijkheid om een Mach-O binary voor Apple-systemen ging.

MonetaStealer is ontworpen om gevoelige informatie buit te maken. De malware richt zich op een breed scala aan gegevens, waaronder wachtwoorden uit webbrowsers, gegevens van cryptocurrency-wallets, wifi-inloggegevens, SSH-sleutels en financiële documenten. Een opvallend technisch kenmerk is de aanwezigheid van een controlemechanisme dat controleert of het platform waarop het draait inderdaad macOS is. Indien dit niet het geval is, wordt de kwaadaardige code niet uitgevoerd.

Onderzoek wijst uit dat de malware in grote mate gebruikmaakt van code die is gegenereerd door kunstmatige intelligentie en machine learning-tools. Dit duidt er volgens analisten op dat de software zich nog in een vroege ontwikkelingsfase bevindt. Desondanks bleek de malware bij ontdekking een detectieratio van nul te hebben op VirusTotal, waardoor het voor de meeste beveiligingsoplossingen onzichtbaar bleef. De hoofdlading bevindt zich in een Python-gebaseerd bestand genaamd portfolio_app.pyc, verborgen in een gecomprimeerde structuur die statische scanners omzeilt.

Tijdens de uitvoering toont de malware een banner met de tekst "PROFESSIONAL MACOS STEALER v2.0" en gebruikt het tekstuitvoer om de voortgang van verschillende diefstalmodules bij te houden. In de code zijn Russischtalige commentaren aangetroffen en er is geen gebruikgemaakt van obfuscatie om de code onleesbaar te maken. Voor het stelen van browsergegevens uit Google Chrome maakt de malware tijdelijke kopieën van SQLite-databases. Om opgeslagen wachtwoorden te kunnen ontsleutelen, probeert de malware de master key uit de macOS Keychain te verkrijgen. Dit proces activeert een systeemmelding waarbij de gebruiker om het wachtwoord van de sleutelhanger wordt gevraagd, wat een kritiek moment is waarop de aanval opgemerkt kan worden.

Bron

Onderzoekers in cybersecurity hebben details onthuld over een nieuwe aanvalsmethode genaamd Reprompt, die kwaadwillenden in staat stelt om gevoelige data van kunstmatige intelligentie chatbots, waaronder Microsoft Copilot, te exfiltreren met slechts één muisklik. Deze aanval omzeilt volledig de beveiligingscontroles van ondernemingen. Varonis-onderzoeker Dolev Taler legde uit dat een enkel klikken op een legitieme Microsoft-link voldoende was om slachtoffers te compromitteren, zonder dat er plug-ins of interactie met Copilot vereist waren.

De aanval maakte gebruik van de "q" URL-parameter binnen Copilot om een opdracht direct vanuit een URL in te voegen. Via een keten van datalektechnieken kon gevoelige informatie continu en onopgemerkt geëxfiltreerd worden door het gebruikerssessie te kapen, zelfs nadat de Copilot-chat was gesloten. Microsoft heeft na verantwoorde onthulling de beveiligingsfout aangepakt.

Reprompt slaagt erin om een beveiligingsblinde vlek te creëren door Copilot om te vormen tot een onzichtbaar kanaal voor data-exfiltratie. De aanval maakt gebruik van de beperktheid van AI-systemen om onderscheid te maken tussen gebruikersinstructies en verzoeken, wat het mogelijk maakt om indirect prompts in te voegen wanneer onbetrouwbare data wordt geparsed.

Deze onthullingen vallen samen met de ontdekking van diverse vijandige technieken die gericht zijn op AI-tools en beveiligingen kunnen omzeilen. Dit omvat onder andere technieken als ZombieAgent en GeminiJack, die verbindingen met derde apps en documenten misbruiken om data te stelen. De constante aanwezigheid van dit soort aanvalsmethoden onderstreept de noodzaak van gelaagde verdediging om de dreiging te bestrijden.

Bron

Op 15 januari 2026 is informatie naar buiten gekomen over een grootschalige aanbieding van gestolen inloggegevens op het darkweb. Een kwaadwillende partij beweert een compilatie te verkopen die bestaat uit 5 miljard unieke combinaties van e-mailadressen en wachtwoorden. Dergelijke verzamelingen, vaak aangeduid als 'credential compilations', zijn doorgaans samengesteld uit gegevens die zijn buitgemaakt bij diverse eerdere datalekken bij verschillende online diensten en platforms.

De omvang van deze specifieke dataset is aanzienlijk en vormt een potentieel risico voor de digitale veiligheid van gebruikers wereldwijd, inclusief die in Nederland en België. Hoewel de claim van de verkoper over de uniekheid en het exacte aantal gegevens nog niet onafhankelijk is vastgesteld, worden dergelijke databases vaak gebruikt voor het uitvoeren van grootschalige aanvallen. Hierbij proberen aanvallers met geautomatiseerde software toegang te krijgen tot accounts op andere websites waar gebruikers mogelijk dezelfde inloggegevens hergebruiken.

Het aanbieden van dergelijke hoeveelheden gegevens onderstreept de aanhoudende handel in persoonlijke informatie binnen het criminele circuit. Voor organisaties en individuen betekent de beschikbaarheid van dergelijke compilaties een verhoogde dreiging op het gebied van identiteitsfraude en ongeautoriseerde toegang tot systemen. Het incident benadrukt het belang van het gebruik van unieke wachtwoorden voor elke afzonderlijke dienst en de implementatie van aanvullende beveiligingsmaatregelen om de impact van uitgelekte inloggegevens te minimaliseren.

Onderzoek van cybersecuritybedrijf Sonatype heeft aangetoond dat sterk verouderde en kwetsbare versies van Apache Struts nog steeds op grote schaal worden gedownload. Uit de verzamelde gegevens blijkt dat er wekelijks ongeveer 387.000 downloads plaatsvinden van versies die ernstige beveiligingslekken bevatten. Hoewel software-updates voor dit framework al langere tijd beschikbaar zijn, blijven veel organisaties en ontwikkelaars gebruikmaken van deze oude iteraties, wat aanzienlijke risico's met zich meebrengt voor de digitale infrastructuur.

In het rapport wordt specifiek verwezen naar de kwetsbaarheid met het kenmerk CVE-2025-68493. Deze specifieke fout werd geïdentificeerd en gedocumenteerd in het Apache Struts security bulletin onder de referentie S2-069. Een opmerkelijk aspect van deze ontdekking is de wijze waarop het beveiligingslek aan het licht is gekomen. De identificatie van de kwetsbaarheid is uitgevoerd door Zast AI, een autonoom systeem voor kunstmatige intelligentie dat gespecialiseerd is in het opsporen van zwakheden in softwarecode.

De bevindingen benadrukken een aanhoudend probleem binnen de softwarevoorzieningsketen, waarbij oude kwetsbaarheden actueel blijven zolang verouderde componenten in gebruik blijven. Voor organisaties in Nederland en België die gebruikmaken van het Apache Struts-framework voor hun webapplicaties, onderstreept deze situatie het belang van een actieve controle op de gebruikte softwareversies. Het feit dat verouderde software nog steeds massaal wordt gedownload, suggereert dat veel systemen onbewust blootgesteld blijven aan bekende risico's die door kwaadwillenden kunnen worden misbruikt.

Bron

Op een forum op het dark web is een nieuw affiliateprogramma aangekondigd door de groepering achter de Gunra ransomware. De lancering van dit programma voor het jaar 2026 wijst op een voortzetting en mogelijke uitbreiding van de activiteiten van deze specifieke ransomware-organisatie. Via dergelijke programma's werken ontwikkelaars van schadelijke software samen met externe partners die verantwoordelijk zijn voor het binnendringen van netwerken en het verspreiden van de ransomware, waarbij de gegenereerde winsten uit losgeldbetalingen worden verdeeld tussen de partijen.

De aankondiging op het ondergrondse forum dient als een wervingsmethode om nieuwe cybercriminele partners aan te trekken. Het Ransomware-as-a-Service model stelt de beheerders van Gunra in staat om op grotere schaal operaties uit te voeren zonder zelf elke individuele aanval te hoeven initiëren. Voor organisaties in Nederland en België onderstreept deze ontwikkeling de aanhoudende dreiging van ransomware-aanvallen die gericht zijn op het versleutelen van bedrijfsgegevens en het afpersen van slachtoffers.

McLean, Virginia, Verenigde Staten – Een nieuw Top 10 Cybersecurity Innovators profiel van AppGuard is uitgebracht, waarin groeiende bezorgdheid over AI-verbeterde malware wordt belicht. AI maakt malware moeilijker te detecteren, omdat het gebruikt wordt om aanvallen te beoordelen, aan te passen en sneller te handelen dan beveiligingssystemen kunnen bijhouden.

Het rapport pleit voor een fundamentele verandering van aanpak, waarbij de beperkingen van reactieve beveiligingsmaatregelen worden benadrukt. In plaats van voortdurend detectielagen toe te voegen of te wijzigen, benadrukt het profiel het belang van het verminderen van het aanvalsoppervlak van endpoints.

Volgens CEO Fatih Comlekoglu is het onmogelijk om het goede van het kwade te onderscheiden tussen oneindig veel mogelijkheden, zelfs niet met behulp van AI. De sector zou vastzitten in een achtervolging, waarbij detectiehulpmiddelen en AI-verbeteringen worden toegevoegd die er nog steeds niet in slagen om de fundamentele kloof te dichten. Bedrijven zouden nu te maken hebben met een overweldigende stroom meldingen, waardoor veel organisaties de hoeveelheid gegevens die ze opnemen beginnen te beperken.

Zodra de controle over een endpoint is overgenomen, past AI de activiteiten van het kwaadaardige proces in realtime aan om detectie te vermijden en zich aan de omgeving aan te passen. Dit verkort de tijd die verdedigers hebben om te reageren en verergert de gebreken in op detectie gebaseerde beveiliging die afhankelijk is van menselijke goedkeuringen of tussenkomst.

In plaats van aan detectie te vertrouwen, zou het beperken van wat kan worden uitgevoerd en wat de uitvoering kan doen, ervoor zorgen dat aanvallen vastlopen. AppGuard stelt dat het geen gebruik maakt van AI voor malwaredetectie, maar dat AI de op controle gebaseerde aanpak van endpointbescherming verbetert.

AppGuard heeft het Insider Release programma heropend. Ervaren professionals op het gebied van endpointbeveiliging kunnen zich aanmelden om feedback te geven op het opnieuw ontworpen endpoint protection platform van AppGuard. Geselecteerde deelnemers krijgen vroegtijdig toegang tot de nieuwe agent en cloudconsole en kunnen invloed uitoefenen op de functies en roadmap.

De effectiviteit van AppGuard is herhaaldelijk bewezen, bijvoorbeeld bij een van de grootste luchtvaartmaatschappijen ter wereld die meer dan 40.000 endpoints beheert. Na de implementatie van AppGuard in 2019 heeft de organisatie geen succesvolle malware-inbreuken meer gehad.

Bron

Een kritieke fout in de configuratie van Amazon Web Services CodeBuild heeft ertoe geleid dat aanvallers in theorie de volledige controle hadden kunnen overnemen over diverse GitHub-repositories van de cloudprovider zelf. Deze kwetsbaarheid vormde een aanzienlijk risico voor de toeleveringsketen, aangezien onder meer de AWS JavaScript SDK hierdoor gecompromitteerd had kunnen worden. Dit zou een directe bedreiging hebben gevormd voor elke AWS-omgeving die van deze softwarebibliotheken gebruikmaakt.

De kwetsbaarheid, die door onderzoekers van cloudbeveiligingsbedrijf Wiz de naam CodeBreach heeft gekregen, werd veroorzaakt door een onnauwkeurigheid in de webhook-filters binnen de continuous integration pipelines. Deze filters zijn bedoeld om te verifiëren of een build-proces daadwerkelijk gestart mag worden, bijvoorbeeld door te controleren of een GitHub actor-ID overeenkomt met een vertrouwde waarde. Het specifieke probleem lag in de reguliere expressies die voor deze verificatie werden gebruikt. Doordat de karakters voor het begin en einde van de regel in de expressie ontbraken, werd een exacte match niet afgedwongen. Hierdoor kon een aanvaller met een gebruikers-ID dat simpelweg de cijferreeks van een vertrouwd ID bevatte, de beveiliging omzeilen.

Onderzoekers toonden aan dat het mogelijk was om voorspelbare gebruikers-ID's te genereren door het registreren van bots via GitHub Apps. Wanneer een aanvaller erin slaagde een ID te verkrijgen dat als een zogeheten superstring fungeerde voor een geautoriseerd ID, kon deze persoon ongeoorloofd een build triggeren. Dit proces zou de aanvaller toegang hebben gegeven tot gevoelige GitHub-referenties, waaronder tokens met volledige beheerdersrechten over de repository. Met deze rechten zou het mogelijk zijn geweest om kwaadaardige code direct naar de hoofdbranch te pushen, pull requests goed te keuren en geheime sleutels te exfiltreren.

De configuratiefout had impact op vier specifieke open source-projecten die door AWS worden beheerd, namelijk aws-sdk-js-v3, aws-lc, amazon-corretto-crypto-provider en awslabs/open-data-registry. AWS heeft bevestigd dat het ging om projectspecifieke misconfiguraties in de webhook-filters en niet om een fundamentele fout in de CodeBuild-dienst zelf. Na een verantwoorde openbaarmaking van het lek op 25 augustus 2025, heeft AWS de kwetsbaarheid in september 2025 verholpen. Het bedrijf benadrukt dat er na intern onderzoek geen enkel bewijs is gevonden dat CodeBreach daadwerkelijk is misbruikt door kwaadwillenden.

Bron

Een nieuwe phishing scam maakt gebruik van het legitieme factuursysteem van PayPal om nietsvermoedende gebruikers te misleiden, zelfs met het blauwe vinkje in hun inbox. Deze aanval omzeilt traditionele e-mailbeveiligingsfilters.

Oplichters maken een legitieme (zij het frauduleuze) zakelijke account aan op PayPal. Ze gebruiken de daadwerkelijke "Geld aanvragen"- of "Factuur"-functie van PayPal. Omdat PayPal zelf de e-mail verzendt, doorstaat deze alle authenticatiecontroles (SPF, DKIM, DMARC) en verdient hij het blauwe vinkje (Brand Indicators for Message Identification – BIMI) in de inbox van het slachtoffer.

Het werkelijke bedrog zit in de sectie "Opmerking voor klant" van de factuur. Hier plaatsen oplichters hun berichten, zoals: "Uw account is belast met $843,29, neem contact op met Support +1-805-400-3162 als u dit niet hebt goedgekeurd." Door de e-mail te adresseren aan een obscuur of groeps-e-mailadres, proberen de aanvallers ontvangers te verwarren.

Het telefoonnummer in de factuurnota behoort niet toe aan PayPal, maar verbindt de gebruiker rechtstreeks met een frauduleus callcenter. Eenmaal aan de telefoon zullen de oplichters social engineering-tactieken gebruiken om op afstand toegang te krijgen tot de computer van het slachtoffer, en zullen ze proberen het slachtoffer te misleiden om in te loggen op zijn bankrekening of andere gevoelige financiële platforms.

Het is belangrijk om geen enkel nummer in de e-mail te bellen, geen links in de e-mail aan te klikken en PayPal rechtstreeks te benaderen via de officiële website. Slachtoffers moeten controleren op openstaande verzoeken en de fraude melden aan PayPal.

Hackread.com meldde het incident aan PayPal, dat binnen enkele uren reageerde door de factuur te verwijderen en de inhoud te vervangen door een scamwaarschuwing.

Bron

Sinds kort ontvangt Cybercrimeinfo opnieuw meldingen van een spooknota die uit naam van MijnOverheid wordt verstuurd. De valse nota wordt verspreid via e-mail en bevat een link die slachtoffers naar een frauduleuze website leidt. De e-mails kenmerken zich door een onpersoonlijke aanhef.

In de e-mail staat vermeld dat er een openstaande verkeersboete van €52,50 betaald moet worden. Er wordt een deadline van 19 januari 2026 genoemd. Indien de ontvanger niet voor deze datum betaalt via de verstrekte link, dreigt men met de overdracht van de zaak aan het Centraal Justitieel Incassobureau (CJIB) en het in rekening brengen van incassokosten.

Cybercrimeinfo heeft een voorbeeld van deze valse e-mail gepubliceerd op haar website, zodat burgers de kenmerken van de phishingpoging kunnen herkennen.

Cybercrimeinfo adviseert ten strengste om niet op de link in de e-mail te klikken en geen betalingen te verrichten. Ontvangers van de e-mail wordt aangeraden deze door te sturen naar Cybercrimeinfo en de e-mail vervolgens te verwijderen.

Indien men reeds op de link heeft geklikt, betaald, of persoonlijke gegevens heeft ingevuld, adviseert Cybercrimeinfo direct contact op te nemen met de eigen bank en de Fraudehelpdesk. Deze instanties kunnen helpen met het beoordelen van de situatie en het bieden van passend advies. Het is van belang om snel te handelen om de potentiële schade te minimaliseren. De Fraudehelpdesk is een nationaal meldpunt waar slachtoffers en potentiële slachtoffers van fraude terecht kunnen voor informatie, advies en ondersteuning. Banken kunnen helpen met het blokkeren van passen en het terugdraaien van transacties indien er sprake is van oplichting.

Cybercrimeinfo blijft de ontwikkelingen rondom deze en andere vormen van cybercriminaliteit nauwlettend volgen en zal burgers blijven informeren over actuele dreigingen en preventieve maatregelen. Alertheid en kritisch denken zijn cruciaal bij het herkennen van phishingpogingen en het voorkomen van financiële schade.

Bron

Wiper-aanvallen vormen een serieuze bedreiging waarbij het doel niet losgeld is, maar de onherstelbare vernietiging van systemen en data. In tegenstelling tot ransomware, kunnen deze kwaadaardige softwareprogramma's complete omgevingen binnen enkele minuten of uren onbruikbaar maken, zonder enige mogelijkheid tot onderhandeling of decryptie. Dit zet organisaties onder grote druk om snel te detecteren, beslissingen te nemen en voorbereid te zijn. Zodra een wiper-aanval volledig is uitgevoerd, hangt het vermogen tot herstel volledig af van de beschikbaarheid van niet-gecompromitteerde back-ups.

Het Belgisch Centrum voor Cyberveiligheid (CCB) heeft een gids uitgebracht die een gestructureerde aanpak biedt voor het reageren op dit type dreiging, met de nadruk op anticipatie en snelle actie.

De detectie en initiële respons vormen de eerste cruciale stap. Continue monitoring- en waarschuwingssystemen zijn essentieel om abnormaal gedrag te identificeren voordat de datavernietiging zich kan verspreiden. Het isoleren en beschermen van kritieke assets is erop gericht de uitbreiding van de aanval te voorkomen. De absolute prioriteit in deze fase is het beveiligen van de back-up infrastructuur en het isoleren van de getroffen omgevingen.

Coördinatie en crisismanagement zijn gebaseerd op duidelijke commandostructuren, vastgelegde besluitvormingsbevoegdheden en diverse communicatiekanalen. Incident response teams, IT-afdelingen, management en externe stakeholders moeten op elkaar afgestemd handelen. De herstel- en restauratiefase begint zodra de aanval is ingedamd. Deze fase richt zich op het herstellen van systemen met behulp van betrouwbare back-ups en het herstellen van essentiële diensten.

Het verbeteren na het incident maakt de respons cyclus compleet. Na het herstel worden organisaties geadviseerd om diepgaande analyses uit te voeren, hun procedures bij te werken en de geleerde lessen te integreren om hun toekomstige paraatheid te versterken.

De gids van het CCB identificeert een aantal kritieke succesfactoren, waaronder de snelheid tussen detectie en indamming, de onmiddellijke isolatie en bescherming van back-ups, het implementeren van regelmatige oefeningen en geteste procedures, effectieve interne en externe coördinatie, en continue verbetering op basis van de analyse van werkelijke incidenten. Organisaties in België en Nederland worden geadviseerd deze richtlijnen te volgen om zich beter te beschermen tegen de verwoestende gevolgen van wiper-aanvallen.

Bron

Uit een onderzoek in opdracht van het ministerie van Binnenlandse Zaken blijkt dat apps die Nederlandse gemeenten gebruiken ter ondersteuning van stembureauleden en telprocessen bij verkiezingen, in theorie invloed kunnen uitoefenen op het telproces. Het rapport adviseert gemeenten om stembureauleden beter voor te lichten over dit potentiële risico, hoewel er momenteel geen aanwijzingen zijn dat het proces daadwerkelijk wordt beïnvloed.

Het onderzoek, uitgevoerd door Purasec, richtte zich op de software die gemeenten gebruiken ter ondersteuning op stembureaus. Hoewel Nederland traditioneel stemt met potlood en papier, wordt er in het gehele verkiezingsproces op verschillende manieren software ingezet. Een belangrijk onderdeel hiervan is de Ondersteunende Software Verkiezingen (OSV), beheerd door de Kiesraad, die onder andere wordt gebruikt voor het samenvoegen van stemresultaten op gemeenteniveau en het bepalen van de kiesdeler. Het onderzoek van Purasec omvatte echter niet de OSV, maar concentreerde zich op andere software die gemeenten naar eigen inzicht kunnen inzetten. Deze ondersteunende software kan variëren van tools voor het registreren van dieetwensen van stembureauleden tot inventarisatiesystemen voor attributen op stembureaus.

Een specifiek type app dat invloed kan hebben op het stemproces is de iPad-app die door stembureauleden wordt gebruikt om te controleren of een stempas is opgenomen in het Register Ongeldige Stembiljetten (ROS). Hoewel deze controle ook handmatig kan worden uitgevoerd, wordt de app vaak gebruikt vanwege de tijdsbesparing.

Het rapport waarschuwt dat het gebruik van dergelijke apps in theorie invloed kan hebben op het telproces. De onderzoekers stellen dat "met de introductie van stembureauapps de scheiding tussen het papieren stemproces en een digitaal stemproces minder duidelijk wordt". Ze benadrukken echter dat er op dit moment geen signalen zijn dat deze invloed daadwerkelijk plaatsvindt.

Het rapport geeft niettemin enkele aanbevelingen aan gemeenten om met dit potentiële risico om te gaan. Zo wordt geadviseerd om het bewustzijn bij gemeenten en stembureauleden te vergroten over het feit dat gegevens die worden vastgelegd in deze diensten niet mogen worden gebruikt voor formele tellingen. Gemeenten zouden ook advies moeten krijgen over hoe ze kunnen voorkomen dat het gebruik van stempasscanners leidt tot een verhoogd risico. Verder wordt benadrukt dat gemeenten zich bewust moeten zijn van het uitvoeren van privacyimpactonderzoeken bij het gebruik van dergelijke applicaties.
Bron

Op het internet circuleert veel persoonlijke informatie, vaak zonder toestemming van de betrokkenen. Namen, adressen, telefoonnummers, werkgevers in het verleden, familieleden en oude gebruikersnamen zijn veelal gemakkelijk te vinden. Deze informatie bevindt zich op openbare websites, platforms van datahandelaren en dubieuze online directories. Deze sites verkopen de data niet alleen aan marketingbureaus, maar stellen het ook beschikbaar aan iedereen met een internetverbinding.

Het blootstellen van persoonlijke gegevens kan leiden tot doxing, waarbij privé-informatie online wordt gelekt. Het kan leiden tot intimidatie die zich verplaatst van de digitale wereld naar de fysieke leefomgeving. Stalkers en oplichters kunnen profielen samenstellen op basis van oude adressen en telefoonnummers, wat kan resulteren in ongewenste bezoekers aan huis of werkplek.

Wanneer persoonlijke gegevens online toegankelijk zijn voor iedereen, wordt men een gemakkelijker doelwit voor oplichting en identiteitsdiefstal. De fysieke veiligheid kan in het geding komen. Om dit te voorkomen, is het essentieel om persoonlijke informatie te verwijderen van dubieuze websites. Dit kan handmatig door zelf te googelen, opt-out verzoeken te versturen en voortdurend op zoek te gaan naar datahandelaren.

Er zijn ook tools beschikbaar die dit proces kunnen automatiseren. Deze tools sporen persoonlijke data op het internet op en dwingen bedrijven om deze namens de gebruiker te verwijderen. Ze verwijderen details van verschillende bronnen, waaronder people search sites, publieke, niet-gouvernementele directories en websites die informatie verspreiden voor winst. Sommige tools bieden ook de mogelijkheid om aangepaste verwijderingsverzoeken te versturen als er informatie wordt gevonden op een plek die niet automatisch wordt gedekt.

Privacy is een belangrijk aspect van veiligheid. Wanneer een huisadres of telefoonnummer niet gemakkelijk te vinden is, wordt het aanzienlijk moeilijker om iemand lastig te vallen, te stalken of op te lichten. Het beschermen van persoonlijke informatie is essentieel om zich veilig te voelen, zowel online als offline.

Bron

Cybersecurity-onderzoekers hebben vijf nieuwe kwaadaardige Google Chrome-webbrowser-extensies ontdekt die zich voordoen als human resources (HR)- en enterprise resource planning (ERP)-platformen zoals Workday, NetSuite en SuccessFactors, met als doel de controle over accounts van slachtoffers over te nemen.

"De extensies werken samen om authenticatietokens te stelen, incident response mogelijkheden te blokkeren en complete account overname mogelijk te maken via session hijacking," aldus Kush Pandya, security researcher bij Socket, in een rapport dat op donderdag werd gepubliceerd.

De namen van de extensies zijn: DataByCloud Access (ID: oldhjammhkghhahhhdcifmmlefibciph), Tool Access 11 (ID: ijapakghdgckgblfgjobhcfglebbkebf), DataByCloud 1 (ID: mbjjeombjeklkbndcjgmfcdhfbjngcam), DataByCloud 2 (ID: makdmacamkifdldldlelollkkjnoiedg) en Software Access (ID: bmodapcihjhklpogdpblefpepjolaoij).

Alle extensies, met uitzondering van Software Access, zijn inmiddels verwijderd uit de Chrome Web Store. Ze zijn echter nog steeds beschikbaar op downloadsites van derden. De add-ons worden aangeprezen als productiviteitstools die toegang bieden tot premium tools voor verschillende platformen, waaronder Workday en NetSuite. Twee van de extensies, DataByCloud 1 en DataByCloud 2, werden voor het eerst gepubliceerd op 18 augustus 2021.

De campagne, ondanks het gebruik van twee verschillende uitgevers, wordt beschouwd als een gecoördineerde operatie op basis van identieke functionaliteit en infrastructuurpatronen. Het omvat specifiek het exfiltreren van cookies naar een externe server onder controle van de aanvallers, het manipuleren van de Document Object Model (DOM)-boom om beveiligingsbeheerpagina's te blokkeren en het faciliteren van sessiekaping via cookie-injectie.

Eenmaal geïnstalleerd, vraagt DataByCloud Access toestemming voor cookies, beheer, scripting, opslag en declarativeNetRequest over de domeinen Workday, NetSuite en SuccessFactors. Het verzamelt ook authenticatiecookies voor een gespecificeerd domein en verzendt deze elke 60 seconden naar het "api.databycloud[.]com" domein.

"Tool Access 11 (v1.4) voorkomt toegang tot 44 administratieve pagina's binnen Workday door pagina-inhoud te wissen en door te verwijzen naar verkeerd gevormde URL's," legt Pandya uit. "Deze extensie blokkeert authenticatiebeheer, beveiligingsproxyconfiguratie, IP-bereikbeheer en sessiecontrole-interfaces."

Dit wordt bereikt door DOM-manipulatie, waarbij de extensie een lijst bijhoudt van paginatitels die voortdurend worden bewaakt. Data By Cloud 2 breidt de blokkeerfunctie uit naar 56 pagina's en voegt cruciale functies toe zoals wachtwoordwijzigingen, accountdeactivering, 2FA-apparaatbeheer en toegang tot beveiligingsauditlogboeken. Het is ontworpen om zowel productieomgevingen als de sandbox-testomgeving van Workday op "workdaysuv[.]com" te targeten.

Data By Cloud 1 repliceert de cookie-stelende functionaliteit van DataByCloud Access en bevat tegelijkertijd functies om code-inspectie te voorkomen met behulp van web browser developer tools met behulp van de open-source DisableDevtool library. Beide extensies versleutelen hun command-and-control (C2) verkeer.

De meest geavanceerde extensie van het stel is Software Access, die cookie-diefstal combineert met de mogelijkheid om gestolen cookies te ontvangen van "api.software-access[.]com" en deze in de browser te injecteren om directe sessiekaping te faciliteren. Bovendien is het uitgerust met wachtwoord input field protection om te voorkomen dat gebruikers credential inputs inspecteren.

"De functie parseert cookies uit de server payload, verwijdert bestaande cookies voor het doeldomein en itereert vervolgens door de meegeleverde cookie-array en injecteert elk item met behulp van chrome.cookies.set()," aldus Socket. "Dit installeert de authenticatiestatus van het slachtoffer rechtstreeks in de browsersessie van de dreigingsactor."

Een opmerkelijk aspect dat alle vijf extensies met elkaar verbindt, is dat ze een identieke lijst bevatten van 23 beveiligingsgerelateerde Chrome-extensies, zoals EditThisCookie, Cookie-Editor, ModHeader, Redux DevTools en SessionBox, die zijn ontworpen om hun aanwezigheid te bewaken en te signaleren aan de dreigingsactor.

Dit is waarschijnlijk een poging om te beoordelen of de webbrowser een tool heeft die mogelijk hun cookie harvesting doelstellingen kan verstoren of het gedrag van de extensie kan onthullen, aldus Socket. Bovendien roept de aanwezigheid van een vergelijkbare extensie-ID-lijst in alle vijf extensies twee mogelijkheden op: ofwel het is het werk van dezelfde dreigingsactor die ze onder verschillende uitgevers heeft gepubliceerd, ofwel een gemeenschappelijke toolkit.

Chrome-gebruikers die een van de bovengenoemde add-ons hebben geïnstalleerd, wordt geadviseerd deze uit hun browsers te verwijderen, wachtwoorden opnieuw in te stellen en te controleren op tekenen van ongeautoriseerde toegang vanaf onbekende IP-adressen of apparaten.

"De combinatie van continue credential theft, blokkering van de administratieve interface en session hijacking creëert een scenario waarin beveiligingsteams ongeautoriseerde toegang kunnen detecteren, maar niet kunnen verhelpen via normale kanalen," aldus Socket.
Bron

De Gootloader-malware, die veelvuldig wordt ingezet voor het verkrijgen van initiële toegang tot computersystemen, maakt gebruik van een nieuwe methode om beveiligingssoftware te omzeilen. Onderzoekers hebben vastgesteld dat de malware nu gebruikmaakt van misvormde ZIP-archieven die bestaan uit maximaal duizend samengevoegde archieven. Deze complexe structuur zorgt ervoor dat veel analyse-instrumenten vastlopen wanneer zij proberen het bestand te scannen. Hoewel standaard hulpprogramma's in Windows het bestand succesvol kunnen uitpakken, falen veelgebruikte tools zoals 7-Zip en WinRAR bij de verwerking hiervan.

De actoren achter Gootloader passen diverse technieken toe om analyse te bemoeilijken. Naast het samenvoegen van honderden archieven wordt er gebruikgemaakt van een afgeknotte 'End of Central Directory' waarbij essentiële bytes ontbreken. Ook worden disknummervelden gerandomiseerd, waardoor software onterecht verwacht dat het archief uit meerdere schijven bestaat. Daarnaast zijn er opzettelijke inconsistenties aangebracht in de metadata tussen de lokale bestandskoppen en de centrale directory-vermeldingen. Om detectie op basis van vaste patronen te voorkomen, wordt voor elke download een unieke combinatie van het ZIP-bestand en het bijbehorende JScript-script gegenereerd.

Gootloader is sinds 2020 actief en dient vaak als voorbode voor verdere cybercriminele activiteiten, waaronder de installatie van ransomware. Na een afwezigheid van zeven maanden keerde de operatie in november vorig jaar terug met deze geavanceerdere obfuscatiemechanismen. De malware wordt verspreid als een gecodeerd blok dat aan de clientzijde wordt gedecodeerd en herhaaldelijk wordt aangevuld tot het de gewenste omvang heeft bereikt, wat helpt bij het omzeilen van netwerkbeveiliging.

Wanneer het kwaadaardige JScript op een hostsysteem wordt uitgevoerd via de Windows Script Host, nestelt de malware zich in het systeem. Er worden snelkoppelingen aangemaakt in de opstartmap die verwijzen naar een tweede script. Bij elke systeemstart wordt dit script geactiveerd, wat uiteindelijk leidt tot het aanroepen van PowerShell-processen. Experts adviseren om de standaardtoepassing voor het openen van JScript-bestanden te wijzigen van de Windows Script Host naar Kladblok om automatische uitvoering te voorkomen. Daarnaast kan het blokkeren van specifieke Windows-processen zoals wscript.exe en cscript.exe voor gedownloade bestanden de kans op infectie verkleinen.

Bron

Socialmediaplatform X heeft aangekondigd de regels voor de AI-chatbot Grok aan te scherpen om het digitaal 'uitkleden' van personen onmogelijk te maken. Deze vorm van beeldmanipulatie, waarbij AI wordt gebruikt om naaktbeelden te genereren op basis van bestaande foto's, is zonder toestemming verboden. De maatregel volgt op groeiende zorgen over het misbruik van de technologie, waarbij ook beelden van minderjarigen worden gebruikt. Expertisecentrum Offlimits rapporteert dat het meldpunt voor beeldmateriaal van seksueel misbruik vorig jaar 2100 door AI gegenereerde beelden heeft ontvangen. Dit betreft een stijging van 260 procent in het aantal meldingen van AI-gegenereerde naaktfoto’s ten opzichte van het voorgaande jaar bij de hulplijn voor online grensoverschrijdend gedrag.

De mogelijkheid om foto's met behulp van AI te manipuleren beïnvloedt de manier waarop ouders beeldmateriaal van hun kinderen online delen. Verschillende ouders kiezen er inmiddels voor om gezichten af te schermen met emoji's, foto's te vervagen of kinderen enkel van de achterkant te fotograferen om de online voetafdruk te beperken. Deze voorzorgsmaatregelen zijn ingegeven door het feit dat publiek toegankelijke data door AI-tools kunnen worden gebruikt. Expertisebureau Offlimits stelt dat de verantwoordelijkheid voor het faciliteren van deze privacyschendingen bij de platforms en hun eigenaren ligt. De organisatie heeft onlangs opgeroepen tot een verbod op AI-tools die het genereren van naaktbeelden mogelijk maken, aangezien het vervaardigen en verspreiden van dergelijk materiaal strafbaar is.

Bron

Op 16 januari 2026 zijn details naar buiten gekomen over een geavanceerd Phishing-as-a-Service (PhaaS) platform genaamd STARKILLER. Dit platform is specifiek ontworpen om beveiligingsmaatregelen zoals Multi-Factor Authentication (MFA) te omzeilen, wat een verhoogd risico vormt voor zowel particuliere als zakelijke gebruikers in Nederland en België. STARKILLER biedt cybercriminelen een kant-en-klare infrastructuur voor het opzetten van geraffineerde phishingaanvallen die gericht zijn op het onderscheppen van inloggegevens en verificatiecodes.

De technische infrastructuur van het platform is gekoppeld aan het IP-adres 213.177.179.183 en maakt gebruik van diverse actieve poorten, waaronder 22, 80, 443, 8080, 8888 en 9999. Het systeem is ondergebracht binnen het Autonomous System Number (ASN) 208137, dat wordt geassocieerd met de organisatie Feo Prest SRL. Onderzoek naar de structuur van STARKILLER wijst op het bestaan van verschillende interfaces, waaronder een gebruikerspaneel voor klanten van de dienst en een specifiek "Super Admin" paneel voor de beheerders van het platform.

Naast de aansturingspanelen maakt het platform gebruik van specifieke bestanden zoals "app.js" voor de functionaliteit van de phishingpagina's. Door de focus op het targeten van MFA-beveiligingen kan STARKILLER sessies overnemen die normaal gesproken als veilig worden beschouwd. De opkomst van dergelijke gespecialiseerde platformen onderstreept de voortdurende ontwikkeling van phishingmethodieken waarbij de drempel voor het uitvoeren van complexe aanvallen op digitale identiteiten wordt verlaagd.

Cybersecurityteams zijn gealarmeerd door de opkomst van een nieuwe malware genaamd CastleLoader. Deze malware wordt sinds begin 2025 gebruikt door aanvallers die zich richten op omgevingen met hoge beveiligingseisen.

Eerdere versies van CastleLoader werden in juli en augustus 2025 geanalyseerd, zoals Hackread.com in december 2025 rapporteerde. ANY.RUN heeft nu een nieuwere en meer verborgen versie ontdekt.

ANY.RUN omschrijft CastleLoader als een 'loader', een gespecialiseerde software die fungeert als een toegangspunt voor destructievere aanvallen. Onderzoek heeft aangetoond dat CastleLoader al minstens 469 apparaten heeft geïnfecteerd, met een focus op Amerikaanse overheidsinstanties en kritieke infrastructuur in Europa, waaronder de logistieke en reissector.

CastleLoader maakt gebruik van social engineering, zoals de ClickFix-methode. Hierbij zien gebruikers valse pop-ups voor updates of verificaties. Als de gebruiker hierop klikt, geeft hij de malware toestemming om te starten. Een voorbeeld van een valse melding is: "Het programma kan niet starten omdat VCRUNTIME140.dll ontbreekt op uw computer."

De malware komt vaak binnen via Inno Setup, een veelgebruikt installatieprogramma, en gebruikt een script genaamd AutoIt om het systeem voor te bereiden op de volgende fase van de aanval.

Na succesvolle infiltratie voert CastleLoader 'process hollowing' uit. Hierbij wordt een legitiem Windows-programma, jsc.exe, gekaapt. De malware vervangt de code van dit programma door kwaadaardige instructies. Omdat de code binnen het geheugen van een vertrouwd programma draait, wordt deze vaak niet gedetecteerd door antivirusprogramma's.

Onderzoek wijst uit dat CastleLoader na installatie verbinding maakt met een commandocentrum op het adres 94.159.113.32. Van daaruit kan het informatie stealen of Remote Access Trojans (RATs) downloaden om controle over het netwerk te krijgen.

CastleLoader gebruikt geheugen-gebaseerde aanvallen, waardoor de kwaadaardige code zich in het tijdelijke geheugen (RAM) van de computer bevindt. Omdat er geen permanent bestand wordt opgeslagen, kan de malware antivirusprogramma's omzeilen.

De ontdekking van CastleLoader benadrukt het belang van een combinatie van technologie en alertheid.

Bron

Op 15 januari 2026 is naar voren gekomen dat cybercriminelen op grote schaal gebruikmaken van vertrouwde cloud- en Content Delivery Network-platforms (CDN) om phishing-kits te hosten. Deze verschuiving in infrastructuur zorgt voor aanzienlijke uitdagingen bij de detectie door beveiligingsteams. In tegenstelling tot traditionele phishing-campagnes, die vaak afhankelijk zijn van nieuw geregistreerde en verdachte domeinen, maken deze aanvallers gebruik van de legitieme infrastructuur van bekende providers zoals Google, Microsoft Azure en AWS CloudFront.

Door gebruik te maken van deze vertrouwde domeinen kunnen aanvallers veel beveiligingsfilters omzeilen, omdat de domeinen bij een eerste controle als veilig worden aangemerkt. Slachtoffers krijgen domeinnamen te zien van bekende technologiebedrijven, wat de drempel verlaagt om gevoelige inloggegevens in te voeren. Ook netwerkmonitoringstools hebben moeite om deze activiteiten te signaleren, aangezien zij normale HTML-inhoud zien die wordt geladen vanaf gevestigde cloudservices in plaats van verdachte verkeerspatronen.

Deze techniek richt zich specifiek op zakelijke gebruikers in verschillende campagnes. Hierbij worden gratis e-mailaccounts vaak gefilterd om de focus volledig te leggen op het buitmaken van bedrijfsgegevens. Onderzoekers van Any.Run hebben dit groeiende patroon geïdentificeerd tijdens de analyse van diverse phishing-families. Zo is vastgesteld dat de Tycoon phishing-kit opereert via Microsoft Azure Blob Storage. De Sneaky2FA-kit werd aangetroffen op Firebase Cloud Storage en AWS CloudFront, waarbij vervalste Microsoft 365-inlogpagina's worden ingezet om zakelijke accounts over te nemen. Daarnaast gebruikt de EvilProxy-kit Google Sites om kwaadaardige pagina's te hosten.

Beveiligingsteams staan voor complexe hindernissen omdat traditionele reputatiecontroles van domeinen niet werken bij deze legitieme diensten. Omdat de meeste beveiligingsleveranciers deze cloud-domeinen als veilig classificeren, is de kwaadaardige activiteit enkel te vinden in de geserveerde inhoud en niet in de infrastructuur zelf. De oplossing voor dit probleem ligt volgens experts bij gedragsanalyse in plaats van eenvoudige domeincontroles. Beveiligingsplatforms moeten in real-time onderzoeken hoe gebruikers met deze pagina's omgaan om verdachte patronen te herkennen.

Bron

Een nieuwe reeks van 17 kwaadaardige browser-extensies, gelinkt aan de GhostPoster-campagne, is ontdekt in de Chrome, Firefox en Edge stores. Deze extensies hebben in totaal 840.000 installaties verzameld. De GhostPoster-campagne werd voor het eerst gerapporteerd door Koi Security onderzoekers in december. Zij vonden 17 extensies die schadelijke JavaScript-code verborgen in hun logo-afbeeldingen. Deze code monitorde browseractiviteit en plaatste een backdoor.

De code haalt een zwaar versluierde payload van een externe bron op. Deze payload volgt de browse-activiteit van het slachtoffer, kaapt affiliate links op grote e-commerce platforms, en injecteert onzichtbare iframes voor ad fraud en click fraud.

Een nieuw rapport van browser security platform LayerX geeft aan dat de campagne nog steeds actief is, ondanks de eerdere blootlegging. De volgende 17 extensies maken deel uit van de campagne: Google Translate in Right Click (522.398 installaties), Translate Selected Text with Google (159.645 installaties), Ads Block Ultimate (48.078 installaties), Floating Player – PiP Mode (40.824 installaties), Convert Everything (17.171 installaties), Youtube Download (11.458 installaties), One Key Translate (10.785 installaties), AdBlocker (10.155 installaties), Save Image to Pinterest on Right Click (6.517 installaties), Instagram Downloader (3.807 installaties), RSS Feed (2.781 installaties), Cool Cursor (2.254 installaties), Full Page Screenshot (2.000 installaties), Amazon Price History (1.197 installaties), Color Enhancer (712 installaties), Translate Selected Text with Right Click (283 installaties), Page Screenshot Clipper (86 installaties).

Volgens de onderzoekers is de campagne begonnen op Microsoft Edge en vervolgens uitgebreid naar Firefox en Chrome. LayerX ontdekte dat sommige van de bovenstaande extensies al sinds 2020 in browser add-on stores aanwezig zijn, wat wijst op een succesvolle lange termijn operatie.

Hoewel de ontwijkings- en post-activatie mogelijkheden grotendeels hetzelfde zijn als eerder gedocumenteerd door Koi, heeft LayerX een meer geavanceerde variant geïdentificeerd in de ‘Instagram Downloader’ extensie. Het verschil bestaat uit het verplaatsen van de kwaadaardige staging logic naar het achtergrondscript van de extensie en het gebruiken van een gebundeld afbeeldingsbestand als een verborgen payload container in plaats van alleen een icoon.

Tijdens runtime scant het achtergrondscript de raw bytes van de afbeelding op een specifieke delimiter (>>>>), extraheert en bewaart de verborgen data in lokale extensie opslag, en decodeert en executeert deze vervolgens als JavaScript via Base64.

"Deze staged execution flow demonstreert een duidelijke evolutie naar langere dormancy, modulariteit en weerstand tegen zowel statische als behavioral detection mechanismen," aldus LayerX over de nieuwste GhostPoster variant.

De onderzoekers meldden dat de nieuw geïdentificeerde extensies niet langer aanwezig zijn in de add-on stores van Mozilla en Microsoft. Echter, gebruikers die ze in hun browsers hebben geïnstalleerd, lopen mogelijk nog steeds risico. BleepingComputer heeft contact opgenomen met Google over de aanwezigheid van de extensies in de Chrome Web Store. Een woordvoerder heeft bevestigd dat alle extensies verwijderd zijn. Het is raadzaam voor IT- en security professionals hun gebruikers te waarschuwen en browser-extensies te controleren. Regelmatige security audits en browser-hardening technieken kunnen helpen de impact van dergelijke campagnes te minimaliseren.

Bron

Een dreigingsactor die opereert onder de naam CHONG heeft op 17 januari 2026 toegang tot een telecomnetwerk te koop aangeboden. De aanbieder claimt connectiviteit te hebben met zowel ontwikkel- als productiedatabaseservers. Het aanbod betreft zogenaamde 'Initial Access' en wordt verhandeld voor een bedrag van achtduizend dollar. Volgens de door de actor verstrekte specificaties omvat het pakket één VPN-toegang en twee RDP-toegangen. Daarnaast wordt er melding gemaakt van zeventien hosts die zich op hetzelfde subnet bevinden.

De actor stelt dat het getroffen telecombedrijf een geschatte jaaromzet heeft van honderdvijf miljoen dollar. In de beschrijving van de toegang wordt expliciet vermeld dat er endpoint detection and response software van CrowdStrike in gebruik is binnen het netwerk. Dit detail wordt vaak gedeeld om potentiële kopers te informeren over het beveiligingsniveau en de noodzaak voor geavanceerde technieken om detectie te voorkomen of om aan te tonen dat de huidige toegang deze beveiliging reeds heeft omzeild.

CHONG is volgens de beschikbare gegevens actief sinds 20 december 2024 en is recentelijk nog waargenomen op 17 januari 2026. De activiteiten van deze actor richten zich voornamelijk op sectoren zoals netwerken, telecommunicatie, media en de gezondheidszorg. Hoewel de specifieke naam van het slachtoffer niet is vrijgegeven, zijn eerdere activiteiten van deze actor waargenomen in regio's waaronder Oekraïne, China en Canada. De verkoop van dergelijke toegang stelt andere cybercriminelen in staat om vervolgaanvallen uit te voeren, variërend van datadiefstal tot de uitrol van ransomware.

Duizenden systemen wereldwijd zijn besmet geraakt door remote access trojans (RAT's) verspreid via gemanipuleerde file converter applicaties. Deze applicaties worden via misleidende advertenties aangeboden en lijken legitieme productiviteitstools te zijn. In werkelijkheid installeren ze heimelijk backdoors die aanvallers continue toegang geven tot de gecompromitteerde computers.

Onderzoek van Nextron Systems wijst uit dat de infectieketen doorgaans begint met kwaadaardige Google advertenties die op legitieme websites worden geplaatst, waaronder downloadpagina's voor videospellen, websites met content voor volwassenen en websites voor productiviteitstools. Wanneer gebruikers zoeken naar file conversie tools, zoals "Word naar PDF converter" of image converters, verschijnen deze advertenties bovenaan de zoekresultaten, waardoor ze betrouwbaar lijken. Een klik op de advertentie leidt slachtoffers via meerdere domeinen naar valse converter websites die de trojanized software aanbieden.

De websites die de schadelijke payload leveren, vertonen opvallende overeenkomsten die herkenning mogelijk maken. Domeinen zoals ez2convertapp[.]com, convertyfileapp[.]com, powerdocapp[.]com en pdfskillsapp[.]com presenteren allemaal prominente downloadknoppen en vergelijkbare pagina-indelingen, inclusief FAQ's, beschrijvingen van functionaliteiten en privacy policies. Veel van deze domeinen hosten niet direct de dropper files, maar leiden gebruikers door naar extra domeinen die de daadwerkelijke schadelijke downloads aanbieden.

Om detectie te ontwijken en betrouwbaar over te komen, signeren de aanvallers hun malware met code signing certificaten van uitgevers zoals BLUE TAKIN LTD, TAU CENTAURI LTD en SPARROW TIDE LTD. Hoewel veel van deze certificaten na ontdekking zijn ingetrokken, duiken er voortdurend nieuwe campagnes op met verse, geldige certificaten die elementaire beveiligingscontroles omzeilen. Hierdoor lijkt de malware legitiem voor zowel eindgebruikers als beveiligingstools die signature verificatie uitvoeren.

Na download droppen de converter applicaties, geschreven in C#, extra payloads in de %LocalAppData% directory en creëren ze scheduled tasks die elke 24 uur "updater" binaries uitvoeren. Volgens de analyse van Nextron Systems starten de scheduled tasks doorgaans één dag na de initiële infectie. Deze "+1 day" offset dient als een bruikbare forensische indicator om de initiële toegang te pinpointen. Een systeem-specifieke UUID, opgeslagen in een id.txt bestand, identificeert elk slachtoffer tijdens command-and-control (C2) communicatie.

De final-stage payload functioneert als een generieke execution engine die contact maakt met door aanvallers gecontroleerde C2 servers om kwaadaardige .NET assemblies op te halen en uit te voeren. Deze RAT's bieden aanvallers mogelijkheden zoals datadiefstal, keylogging, screen capture, toegang tot het bestandssysteem en het downloaden van extra malware. De UpdateRetriever.exe component authenticeert zich bij de C2 server, ontvangt uitvoerbare code en voert deze stilletjes uit op het gecompromitteerde systeem, terwijl de resultaten terug worden gestuurd naar de aanvallers.

Organisaties kunnen deze infecties detecteren door Windows Event ID 4698 (scheduled task aangemaakt) te monitoren in Security.evtx logs, wat het inschakelen van object access auditing vereist. Verdachte scheduled tasks die worden uitgevoerd vanuit %LocalAppData% directories zijn uitstekende detectiepunten, vooral in combinatie met Sysmon Event ID 13 registry monitoring en Task Scheduler Operational events.

Aanvullende verdedigingsmaatregelen omvatten het implementeren van application control policies, zoals AppLocker, om uitvoering vanuit user-writable locaties te blokkeren, en het creëren van deny rules voor geïdentificeerde kwaadaardige code-signing certificaten.

Bron

Een recent ontdekte backdoor, genaamd PDFSIDER, vormt een aanzienlijke bedreiging voor Windows-systemen. Deze malware geeft aanvallers langdurige controle over geïnfecteerde systemen, terwijl het effectief antivirus- en endpoint detection and response (EDR) tools omzeilt. De complexiteit van PDFSIDER zit in het gebruik van betrouwbare software en sterke encryptie om zijn aanwezigheid te maskeren, waardoor indringers commando's kunnen uitvoeren, het netwerk kunnen onderzoeken en zich verder in de doelomgeving kunnen infiltreren.

De campagne die PDFSIDER verspreidt, maakt gebruik van gerichte spear phishing-aanvallen. Slachtoffers ontvangen e-mails met een ZIP-archief dat een legitieme PDF24 Creator executable bevat, voorzien van een geldig digitaal certificaat, samen met aanvullende bestanden. Wanneer de gebruiker de vertrouwde applicatie start, wordt een verborgen payload geactiveerd in plaats van een documentviewer. Dit resulteert in een inbreuk met minimale zichtbare signalen.

Resecurity-analisten hebben PDFSIDER geïdentificeerd tijdens een poging tot een inbraak bij een Fortune 100-bedrijf, die kon worden gestopt voordat er dataverlies optrad. Hun onderzoek toonde aan dat de malware al wordt gebruikt door verschillende ransomwaregroepen en geavanceerde actoren als een betrouwbare payload loader die standaard beveiligingscontroles kan omzeilen. Het ontwerp van de tool lijkt meer op spionage dan op traditionele criminele praktijken.

De impact op IT-beveiligers is aanzienlijk. PDFSIDER combineert een geldige applicatie, een valse Windows cryptbase.dll en versleuteld command and control (C&C) verkeer via DNS-poort 53. Door voornamelijk in het geheugen te opereren, te controleren op virtuele machines en debuggers, en door het vermijden van opvallende exploit chains, worden traditionele signature-based detectie en sandbox-testen aanzienlijk minder effectief.

De infectie begint wanneer het slachtoffer de geïnfecteerde PDF24 executable uit het geleverde archief uitvoert. In dezelfde map plaatsen de aanvallers een kwaadaardige cryptbase.dll die misbruik maakt van DLL side-loading regels, waardoor het programma hun bibliotheek laadt in plaats van het echte systeembestand.

Na het laden initialiseert PDFSIDER Winsock, verzamelt systeemdetails, bouwt een unieke host-identificatie en zet een in-memory backdoor loop op. Vervolgens maakt de malware anonieme pipes en start een verborgen cmd.exe-proces met behulp van de CREATE_NO_WINDOW-vlag. Alle commando's die door de operators worden verzonden, worden zonder een consolevenster uitgevoerd en de output wordt vastgelegd en teruggestuurd via een AES 256 GCM-gecodeerd kanaal, aangedreven door de Botan-bibliotheek.

Omdat al het verkeer sterk is beveiligd en nooit naar de schijf wordt geschreven, zien beveiligingstools alleen normaal uitziende DNS-verzoeken, terwijl aanvallers volledige remote shell-controle hebben.

Bron

Cybersecurity onderzoekers hebben een geavanceerde malwarecampagne ontdekt die een ongebruikelijke, maar effectieve tactiek gebruikt: het opzettelijk laten vastlopen van browsers. De dreiging, genaamd CrashFix, opereert via een kwaadaardige Chrome-extensie die zich voordoet als de legitieme ad blocker NexShield.

Gebruikers die online zoeken naar privacy tools worden via malafide advertenties doorverwezen naar een schijnbaar betrouwbare extensie in de Chrome Web Store. Deze valse extensie lanceert vervolgens een gecoördineerde aanval die is ontworpen om gebruikers te frustreren en hen te bewegen tot het uitvoeren van gevaarlijke commando's.

De campagne onthult een meerlaagse infectieaanpak die zowel thuis- als bedrijfsnetwerken viseert. Na installatie blijft de extensie het eerste uur inactief, alvorens zijn destructieve payload te activeren. Deze timingstrategie creëert afstand tussen de installatie en de daaropvolgende problemen, waardoor het voor slachtoffers lastiger wordt om de browserproblemen toe te schrijven aan recent toegevoegde software.

De operatie toont zorgvuldige planning van de kant van de bedreigers, die duidelijk inzicht hebben in gebruikersgedrag. Analisten van Huntress hebben vastgesteld dat de campagne afkomstig is van KongTuke, een bekende threat actor groep die actief is sinds begin 2025.

Onderzoekers identificeerden meerdere geavanceerde componenten, waaronder de NexShield extensie (die uBlock Origin Lite nabootst), het CrashFix aanvalsmecanisme en een voorheen onbekende Python-gebaseerde remote access tool (RAT) genaamd ModeloRAT.

Bedrijfsdoelen krijgen voorrang. Machines die aan een domein zijn toegevoegd, ontvangen krachtigere malware dan standalone systemen, wat suggereert dat de aanvallers enterprise compromises prioriteren.

De kern van CrashFix steunt op een opzettelijke denial-of-service aanval tegen de browser van het slachtoffer. De extensie bevat code die een miljard runtime port verbindingen creëert in een oneindige lus. Elke port verbruikt geheugen, terwijl de array onbeperkt groeit, waardoor het interne messaging systeem van de browser wordt overweldigd en CPU-cycli worden verbruikt. Het geheugengebruik stijgt tot de systeemlimieten zijn bereikt, wat leidt tot ernstige vertraging, bevroren tabs en complete browser crashes die een geforceerde afsluiting vereisen.

Wanneer gebruikers hun browser herstarten, krijgen ze een valse beveiligingswaarschuwing te zien die beweert dat de browser "abnormaal is gestopt." De waarschuwing instrueert slachtoffers om het Windows Run dialoogvenster te openen, een commando uit het klembord te plakken en op Enter te drukken. Zonder dat gebruikers het weten, heeft de kwaadaardige extensie eerder al een PowerShell commando naar hun klembord gekopieerd. Het weergegeven commando lijkt legitiem, maar voert in werkelijkheid een gevaarlijke payload uit.

Aanvallers activeren de aanval pas opzettelijk nadat ze C2 connectiviteit hebben vastgesteld en bevestigd hebben dat de gebruiker interactie heeft met de popup, wat blijk geeft van operationeel bewustzijn. Dit combineert social engineering met technische exploitatie voor verwoestende resultaten.

Bron

Een grootschalige cybercampagne, bekend als GhostPoster, heeft de afgelopen jaren meer dan 840.000 gebruikers geïnfecteerd via 17 malafide browser extensies in Chrome, Firefox en Edge. De extensies, die vanaf 2020 actief waren, gebruikten misleidende namen zoals “Google Translate in Right Click,” “Youtube Download,” en “Ads Block Ultimate” om vertrouwen te wekken, terwijl ze in het geheim gevoelige gebruikersinformatie stalen.

Ondanks de veiligheidscontroles van de officiële browserstores, zijn de extensies erin geslaagd om tot wel vijf jaar onopgemerkt actief te blijven. De omvang van het aantal installaties toont aan hoe effectief de aanval was en hoe moeilijk het is voor gebruikers om betrouwbare extensies te onderscheiden van gevaarlijke imitaties.

De aanval maakt gebruik van een fundamentele zwakte in de browserbeveiliging: het vertrouwen dat gebruikers stellen in extensies die in de officiële stores verschijnen. De kwaadaardige extensies gebruikten steganografie om de malafide code te verbergen in PNG-afbeeldingen, een techniek die data verbergt in ogenschijnlijk onschuldige bestanden.

Na installatie pakken de extensies de verborgen payload uit en leggen ze een verbinding met servers die door de aanvallers worden beheerd om extra kwaadaardige scripts te downloaden. De malware voert vervolgens diverse schadelijke acties uit, waaronder het kapen van affiliate links voor financieel gewin, het injecteren van scripts om gebruikersgedrag te volgen, het manipuleren van HTTP-headers om beveiligingsmechanismen uit te schakelen, en het stelen van inloggegevens en persoonlijke data.

De geavanceerde tactieken wijzen erop dat dit geen opportunistische malware is, maar een goed geplande operatie gericht op financieel gewin en aanhoudende toegang tot de systemen van de slachtoffers.

Analisten van LayerX Security hebben de volledige omvang van de campagne vastgesteld nadat Koi Security een malafide Firefox-extensie had ontdekt. Hun onderzoek onthulde de onderlinge verbindingen tussen de 17 extensies, wat aantoonde dat het geen geïsoleerde incidenten waren, maar onderdeel van een gecoördineerde operatie. Het onderzoek toonde aan hoe de aanvallers zich systematisch uitbreidden van Microsoft Edge naar Firefox en vervolgens naar Chrome, waarbij ze hun technieken aanpasten aan de specifieke veiligheidseisen van elk platform.

Een cruciaal element van de infectiemethode is de vertraagde uitvoering, die de malware helpt om detectie te vermijden. Na installatie wacht de extensie 48 uur of langer voordat deze actief wordt, waardoor de veiligheidsscans tijdens de initiële beoordeling worden omzeild. Meer geavanceerde varianten wachten tot wel vijf dagen voordat ze verbinding maken met de externe servers, waardoor een periode ontstaat waarin de malware actief is terwijl detectietools inactief blijven. De malafide code blijft ingebed in het achtergrondscript van de extensie en maakt gebruik van gecrypteerde payloads die pas tijdens runtime worden gedecodeerd. Dit maakt statische analyse vrijwel onmogelijk en zorgt ervoor dat de dreiging verborgen blijft totdat deze volledig is geactiveerd op de systemen van de slachtoffers.

Bron

Cybersecurity onderzoekers hebben details onthuld over een actieve cybercampagne, genaamd 'KongTuke', die een kwaadaardige Google Chrome extensie gebruikt. Deze extensie, vermomd als een advertentieblokker, crasht opzettelijk de webbrowser van slachtoffers om ze vervolgens via ClickFix-achtige lokmiddelen ertoe te bewegen willekeurige commando's uit te voeren. Deze commando's leveren een tot nu toe onbekende remote access trojan (RAT) af, genaamd ModeloRAT. Deze nieuwe escalatie van ClickFix staat intern bij securitybedrijf Huntress bekend als 'CrashFix'.

KongTuke, ook bekend als 404 TDS, Chaya_002, LandUpdate808, en TAG-124, is een traffic distribution system (TDS) dat bekend staat om het profileren van potentiële slachtoffers. Na de profilering worden ze doorgestuurd naar een website waar de schadelijke payload wordt afgeleverd en hun systeem wordt geïnfecteerd. Toegang tot deze gecompromitteerde hosts wordt vervolgens overgedragen aan andere dreigingsactoren, waaronder ransomware groepen, voor verdere malware verspreiding.

Uit een rapport van Recorded Future uit april 2025 blijkt dat cybercriminele groepen die gebruik hebben gemaakt van de TAG-124 infrastructuur, onder andere Rhysida ransomware, Interlock ransomware en TA866 (aka Asylum Ambuscade) omvatten. De dreigingsactor wordt ook geassocieerd met SocGholish en D3F@ck Loader.

Het aanvalspad, zoals gedocumenteerd door Huntress, begint wanneer een slachtoffer zoekt naar een advertentieblokker en vervolgens een kwaadaardige advertentie te zien krijgt. Deze advertentie leidt de gebruiker naar een extensie die in de officiële Chrome Web Store wordt aangeboden.

De betreffende browser extensie, "NexShield – Advanced Web Guardian" (ID: cpcdkmjddocikjdkbbeiaafnpdbdafmi), doet zich voor als het "ultieme privacy schild" en claimt gebruikers te beschermen tegen advertenties, trackers, malware en opdringerige content. De extensie is minstens 5.000 keer gedownload voordat deze uit de Chrome Web Store werd verwijderd.

Volgens Huntress is de extensie een vrijwel identieke kopie van uBlock Origin Lite versie 2025.1116.1841, een legitieme ad blocker add-on. De nagemaakte extensie toont een valse beveiligingswaarschuwing, waarin beweerd wordt dat de browser "abnormaal is gestopt" en vraagt de gebruiker een "scan" uit te voeren om een potentieel veiligheidsrisico, gedetecteerd door Microsoft Edge, te verhelpen.

Indien de gebruiker ervoor kiest de scan uit te voeren, wordt er een nep-beveiligingswaarschuwing getoond die instructies geeft om de Windows Run dialoog te openen en de weergegeven opdracht, die al naar het klembord is gekopieerd, uit te voeren. Dit zorgt ervoor dat de browser volledig vastloopt en crasht door een denial-of-service (DoS) aanval te lanceren. De DoS aanval creëert nieuwe runtime port connecties via een infinite loop die een miljard iteraties van dezelfde stap herhaaldelijk triggert.

Deze resource exhaustion techniek leidt tot excessief geheugengebruik, waardoor de browser traag en onresponsief wordt, en uiteindelijk crasht.

Na installatie stuurt de extensie een uniek ID naar een door de aanvallers beheerde server ("nexsnield[.]com"), waardoor de operators slachtoffers kunnen volgen. Daarnaast is er een mechanisme ingebouwd dat de kwaadaardige activiteit pas 60 minuten na installatie activeert. Daarna wordt de payload elke 10 minuten uitgevoerd.

"De pop-up verschijnt alleen bij het opstarten van de browser, nadat deze onresponsief is geworden," aldus onderzoekers Anna Pham, Tanner Filip en Dani Lopez. "Voordat de DoS wordt uitgevoerd, wordt een timestamp opgeslagen in de lokale opslag. Wanneer de gebruiker de browser forceert te sluiten en opnieuw opstart, controleert de startup handler op deze timestamp. Indien deze bestaat, verschijnt de CrashFix pop-up en wordt de timestamp verwijderd."

De onderzoekers vervolgen: "De DoS wordt alleen uitgevoerd als de UUID bestaat (wat betekent dat de gebruiker wordt gevolgd), de C2 server succesvol reageert op een fetch request, en de pop-up minstens één keer is geopend en vervolgens gesloten. Deze laatste voorwaarde kan intentioneel zijn om interactie met de extensie te garanderen voordat de payload wordt getriggerd."

Dit creëert een zichzelf herhalende lus, waarbij de nepwaarschuwing elke keer dat het slachtoffer de browser forceert te sluiten en opnieuw opstart wordt geactiveerd. Als de extensie niet wordt verwijderd, wordt de aanval na 10 minuten opnieuw getriggerd.

De pop-up bevat ook anti-analyse technieken die contextmenu's deactiveren en pogingen om keyboard shortcuts te gebruiken om developer tools te openen blokkeren. De CrashFix opdracht gebruikt het legitieme Windows programma finger.exe om de volgende payload van de server van de aanvallers ("199.217.98[.]108") op te halen en uit te voeren. KongTuke's gebruik van de Finger opdracht werd in december 2025 al gedocumenteerd door security onderzoeker Brad Duncan.

De payload is een PowerShell command dat is geconfigureerd om een secundair PowerShell script op te halen. Dit script maakt gebruik van meerdere lagen Base64 encoding en XOR operaties om de volgende malware te verbergen, vergelijkbaar met de tactieken van SocGholish.

Het gedecrypteerde script scant actieve processen op meer dan 50 analyse tools en virtual machine indicatoren. Indien dergelijke indicatoren gevonden worden, stopt het script onmiddellijk. Het controleert ook of de machine aan een domein is toegevoegd of standalone is, en stuurt een HTTP POST request naar dezelfde server met twee stukjes informatie:

- Een lijst van geïnstalleerde antivirus producten
- Een flag met de waarde "ABCD111" voor standalone "WORKGROUP" machines of "BCDA222" voor domain-joined hosts

Als het gecompromitteerde systeem als domain-joined in het HTTP request is gemarkeerd, culmineert de KongTuke aanvalsketen in de deployment van ModeloRAT. ModeloRAT is een volledig uitgeruste, Python-gebaseerde Windows RAT die RC4 encryptie gebruikt voor command-and-control (C2) communicatie ("170.168.103[.]208" of "158.247.252[.]178"). De RAT zet persistence op via de Registry en faciliteert de uitvoering van binaries, DLLs, Python scripts, en PowerShell commando's.

ModeloRAT is in staat zichzelf te updaten of te beëindigen bij ontvangst van een self-update ("VERSION_UPDATE") of exit ("TERMINATION_SIGNAL") commando. De RAT maakt ook gebruik van gevarieerde beaconing logica om onder de radar te blijven.

"Onder normale omstandigheden gebruikt de RAT een standaard interval van 300 seconden (5 minuten)," aldus Huntress. "Wanneer de server een activation configuration commando stuurt, gaat het implantaat in actieve modus met rapid polling op een configureerbaar interval, standaard 150 milliseconden."

"Na zes of meer opeenvolgende communicatiefouten schakelt de RAT over op een verlengd interval van 900 seconden (15 minuten) om detectie te voorkomen. Bij het herstellen van één communicatiefout gebruikt de RAT een reconnection interval van 150 seconden voordat de normale operaties worden hervat."

Hoewel de targeting van domain-joined machines met ModeloRAT suggereert dat KongTuke zich richt op corporate omgevingen om diepere toegang te verkrijgen, worden gebruikers op standalone workstations onderworpen aan een aparte multi-stage infectie sequentie die eindigt met de C2 server die het bericht "TEST PAYLOAD!!!!" terugstuurt, wat erop wijst dat deze fase mogelijk nog in de testfase is.

"KongTuke's CrashFix campagne demonstreert hoe dreigingsactoren hun social engineering tactieken blijven evolueren," concludeert Huntress. "Door een vertrouwd open-source project (uBlock Origin Lite) te imiteren, de browser van de gebruiker opzettelijk te laten crashen, en vervolgens een valse fix aan te bieden, hebben ze een zelfvoorzienende infectie loop gecreëerd die inspeelt op de frustratie van de gebruiker."

Bron

Een recent ontdekte kwetsbaarheid in Google Gemini maakt het mogelijk voor kwaadwillenden om via een ogenschijnlijk onschuldige kalenderuitnodiging toegang te krijgen tot vertrouwelijke data. Onderzoekers van Miggo Security hebben een significante fout ontdekt in de manier waarop Google's AI-assistent Gemini interageert met Google Calendar. Deze kwetsbaarheid maakt het mogelijk een Trojan Horse-aanval uit te voeren, waarbij een normale kalenderuitnodiging gebruikt wordt om de AI te misleiden en privégegevens te stelen.

De aanval maakt gebruik van het feit dat Gemini, ontworpen om gebruikers te assisteren door hun agenda te lezen, vatbaar is voor "Indirect Prompt Injection". De onderzoekers van Miggo Security demonstreerden dat de AI, die redeneert op basis van taal in plaats van uitsluitend code, te manipuleren is met behulp van verborgen instructies in duidelijke taal. De bevindingen werden gedeeld met Hackread.com om de potentie van dergelijke aanvallen te illustreren.

De aanval begint met een kalenderuitnodiging. In de beschrijving van de uitnodiging, waar normaal gesproken de agenda zou staan, wordt een verborgen commando opgenomen. Dit commando instrueert Gemini om een samenvatting te maken van andere, vertrouwelijke afspraken en deze samenvatting op te slaan in een nieuwe kalendergebeurtenis.

Het alarmerende aspect van deze aanval is dat er geen actieve interactie van de gebruiker vereist is. De aanval blijft passief totdat de gebruiker een normale vraag stelt aan Gemini, bijvoorbeeld "Ben ik dit weekend druk?". Om een antwoord te geven, leest Gemini de kalender, inclusief de kwaadaardige uitnodiging. Vervolgens voert de AI de verborgen instructies uit en gebruikt de `Calendar.create` tool om een nieuwe gebeurtenis aan te maken, waarin de gestolen privégegevens worden geplakt.

Volgens de onderzoekers is het gevaarlijkste aspect de ogenschijnlijke normaliteit van het proces. Gemini geeft simpelweg de melding "het is een vrije tijdslot", terwijl op de achtergrond de data-exfiltratie plaatsvindt. "Kwetsbaarheden zijn niet langer beperkt tot code," aldus het team van Miggo Security, en benadrukt dat de assistent-functie van de AI juist de bron van de kwetsbaarheid is.

Dit is niet de eerste keer dat Google geconfronteerd wordt met een dergelijk taalgerelateerd probleem. In december 2025 ontdekte Noma Security de "GeminiJack" kwetsbaarheid, die gebruikmaakte van verborgen commando's in Google Docs en e-mails om bedrijfsgeheimen te bemachtigen zonder enige waarschuwing achter te laten. Deze eerdere kwetsbaarheid werd omschreven als een "architecturale zwakte" in de manier waarop enterprise AI-systemen informatie interpreteren.

Hoewel Google de specifieke kwetsbaarheid die door Miggo Security is ontdekt reeds heeft gepatcht, blijft het onderliggende probleem bestaan. Traditionele beveiligingsmaatregelen zijn gericht op het detecteren van kwaadaardige code, maar deze nieuwe aanvalsmethoden maken gebruik van misbruik van natuurlijke taal. Zolang AI-assistenten getraind worden om zo behulpzaam mogelijk te zijn, zullen hackers blijven zoeken naar manieren om die behulpzaamheid tegen ons te gebruiken.
Bron

Een nieuwe cyberdreiging, genaamd PDFSIDER, is ontdekt die een veelgebruikte kantoorapplicatie misbruikt om een backdoor te creëren. De malware werd onlangs geïdentificeerd door onderzoeksbureau Resecurity, nadat een Fortune 100-bedrijf met succes een poging tot inbraak in haar netwerk had geblokkeerd. Het onderzoek, dat gedeeld werd met Hackread.com, onthult een uiterst georganiseerde campagne ontworpen om moderne beveiligingssystemen te omzeilen.

De aanval begint met spear-phishing e-mails, zeer gerichte berichten die slachtoffers verleiden een ZIP-bestand te downloaden. Dit bestand bevat een legitiem programma genaamd PDF24 App, ontwikkeld door Miron Geek Software GmbH. Hoewel de applicatie zelf een legitiem hulpmiddel is voor het beheren van documenten, maken de hackers gebruik van kwetsbaarheden door middel van een techniek genaamd DLL side-loading.

Deze methode werkt door een kwaadaardig bestand, genaamd `cryptbase.dll`, in dezelfde map te plaatsen als het legitieme `PDF24.exe`-bestand. Wanneer de gebruiker het programma opent, wordt de computer misleid om de code van de aanvaller te laden in plaats van het daadwerkelijke systeembestand. De malware draait volledig in het systeemgeheugen, waardoor traditionele antivirusprogramma's worden omzeild.

Om het slachtoffer niet te alarmeren, gebruiken de aanvallers een verborgen command string, aangeduid als `CREATE_NO_WINDOW`, waardoor er "geen zichtbare console verschijnt" tijdens de operatie.

Volgens een blogpost van Resecurity wordt PDFSIDER geclassificeerd als een Advanced Persistent Threat (APT). Dit betekent dat de malware is ontworpen voor langdurige spionage in plaats van een snelle buit. De malware is ook zeer voorzichtig; het gebruikt de `GlobalMemoryStatusEx`-functie om het RAM-geheugen van het systeem te controleren. Als er weinig geheugen wordt gedetecteerd (een veel voorkomend teken van een sandbox die door beveiligingsexperts wordt gebruikt voor testen), zal het programma voortijdig worden beëindigd om verborgen te blijven.

Na activering gebruikt de malware de Botan 3.0.0 cryptografische bibliotheek om de communicatie te beveiligen. Het gebruikt AES-256-GCM encryptie om de gestolen gegevens te versleutelen, waarbij een "unieke ID" voor de computer wordt gecreëerd en de output via DNS-poort 53 naar een private VPS-server wordt teruggestuurd.

De campagne heeft een hoge mate van persistentie getoond. In een recent geval probeerden de hackers zelfs "technische ondersteuning" te imiteren met behulp van QuickAssist om toegang op afstand te verkrijgen. Ze hebben ook valse documenten gebruikt die eruit zien alsof ze zijn geschreven door het PLA Intelligence Bureau om slachtoffers te lokken.

Onderzoekers geloven dat deze aanvalstijl overeenkomsten vertoont met groepen zoals Mustang Panda, die eerder de nieuwe LOTUSLITE backdoor gebruikten om de Amerikaanse overheid te bespioneren met behulp van een Venezuela-nieuws-thema.

Hoewel dit specifieke onderzoek zich richtte op een enkel zakelijk doelwit, waarschuwt het Resecurity HUNTER team dat verschillende ransomware-groepen PDFSIDER nu gebruiken als een manier om hun eigen payloads te leveren. Dit maakt de ontdekking een essentieel stuk informatie voor iedereen die zijn online werkplek wil beschermen.
Bron

Een kritieke kwetsbaarheid in het Windows Kerberos-authenticatieprotocol vergroot het aanvalsoppervlak voor relay-aanvallen binnen Active Directory-omgevingen aanzienlijk. Door de manier waarop Windows-clients omgaan met DNS CNAME-responsen tijdens aanvragen voor Kerberos-servicetickets te manipuleren, kunnen aanvallers systemen dwingen tickets aan te vragen voor services die door hen worden beheerd. Hierdoor worden traditionele beveiligingsmaatregelen effectief omzeild.

De kwetsbaarheid draait om het fundamentele gedrag waarbij een Windows-client een DNS CNAME-record ontvangt en de alias volgt. De client construeert vervolgens de aanvraag voor de Ticket Granting Service met behulp van de CNAME-hostnaam als de Service Principal Name. Een aanvaller die zich in een positie bevindt om DNS-verkeer te onderscheppen, bijvoorbeeld via methoden zoals ARP-poisoning of DHCPv6-poisoning, kan dit mechanisme uitbuiten. Wanneer een slachtoffer toegang probeert te krijgen tot een legitiem domein, reageert de kwaadaardige DNS-server met een CNAME-record dat verwijst naar een hostnaam onder controle van de aanvaller, vergezeld van een A-record dat naar het IP-adres van de aanvaller leidt. Dit proces zorgt ervoor dat het slachtoffer zich authenticeert tegen de infrastructuur van de aanvaller met een ticket dat bedoeld is voor de service van de tegenpartij.

Tests hebben bevestigd dat deze exploitatie werkt op standaardconfiguraties van diverse besturingssystemen, waaronder Windows 10, Windows 11, Windows Server 2022 en Windows Server 2025. De aanval blijkt succesvol tegen onbeschermde services zoals SMB, HTTP en LDAP, met name wanneer ondertekening of Channel Binding Tokens niet strikt worden afgedwongen. De impact van deze kwetsbaarheid is aanzienlijk en omvat mogelijkheden voor remote code execution via ADCS Web Enrollment, cross-protocol relays en ongeautoriseerde laterale verplaatsingen binnen het netwerk. Na een verantwoorde openbaarmaking aan Microsoft in oktober 2025, zijn er patches uitgebracht in de beveiligingsupdates van januari 2026 onder de identificatie CVE-2026-20929.

Bron

Er is een nieuwe spear-phishing campagne waargenomen onder de naam Operation Poseidon die de advertentie-infrastructuur van Google misbruikt om EndRAT-malware te verspreiden. De aanvallers maken hierbij gebruik van legitieme tracking-domeinen voor advertentieklikken om kwaadaardige URL's te maskeren, waardoor het verkeer betrouwbaar oogt voor beveiligingssystemen. Deze techniek blijkt effectief in het omzeilen van e-mailfilters en vermindert argwaan bij gebruikers tijdens de initiële infectiefase. De actoren achter deze campagne behoren tot de Konni APT-groep, die zich door middel van geavanceerde social engineering voornamelijk richt op Zuid-Koreaanse organisaties.

De aanvallers doen zich voor als Noord-Koreaanse mensenrechtenorganisaties en financiële instellingen om slachtoffers te verleiden tot het downloaden van schadelijke bestanden. Deze bestanden worden doorgaans vermomd als financiële documenten, transactiebevestigingen of officiële kennisgevingen die naadloos opgaan in reguliere zakelijke communicatie. Analisten van Genians identificeerden de campagne door middel van forensische analyse van scripts die interne artefacten bevatten. Uit het onderzoek blijkt dat gecompromitteerde WordPress-websites worden ingezet als distributiepunten voor malware en als command-and-control infrastructuur. Deze aanpak stelt de aanvallers in staat om hun infrastructuur snel te wisselen, wat de effectiviteit van traditionele blokkades op URL- en domeinniveau ondermijnt.

De executieketen van de malware start wanneer een slachtoffer klikt op een vermomde advertentie-URL in een spear-phishing e-mail. Deze link leidt de gebruiker via het domein ad.doubleclick.net van Google naar gecompromitteerde servers waarop kwaadaardige ZIP-archieven worden gehost. In deze archieven bevinden zich LNK-snelkoppelingsbestanden die het downloaden en uitvoeren van AutoIt-scripts activeren, welke zich voordoen als PDF-documenten. Deze scripts laden vervolgens varianten van de EndRAT remote access trojan direct in het geheugen zonder dat verdere gebruikersinteractie vereist is. De malware bevat unieke identificatiestrings zoals endServer9688 en endClient9688 voor communicatie. Daarnaast bevatten de phishing-e-mails grote hoeveelheden betekenisloze Engelse tekst in onzichtbare HTML-secties om detectie door scanners te ontwijken.

Bron

Een ogenschijnlijk onschuldig telefoongesprek bleek de opstap naar een geavanceerde aanval waarbij salarissen van werknemers werden omgeleid, zonder dat er malware of een netwerkinbreuk aan te pas kwam. De organisatie ontdekte de fraude nadat medewerkers meldden dat hun salaris niet was gestort. De dader had de gegevens voor automatische overschrijvingen gewijzigd om de betalingen naar rekeningen onder zijn beheer te leiden.

Dit incident onthult een zorgwekkende trend waarbij kwaadwillenden complexe technische methoden laten varen en zich in plaats daarvan richten op social engineering die inspeelt op menselijke kwetsbaarheid. Volgens het 2025 Unit 42 Global Incident Response Report van Palo Alto Networks begon 36 procent van de onderzochte incidenten met social engineering campagnes.

De aanval begon met social engineering tactieken. De aanvaller deed zich voor als werknemers en nam contact op met verschillende helpdeskteams binnen de afdelingen salarisadministratie, IT en HR. Door het verzamelen van openbaar beschikbare informatie van sociale mediaplatforms, verkreeg de aanvaller voldoende persoonlijke details om verificatievragen te beantwoorden. Vervolgens overtuigde hij helpdeskmedewerkers om wachtwoorden opnieuw in te stellen en multi-factor authenticatie (MFA) apparaten opnieuw te registreren. De aanvaller belde zelfs herhaaldelijk terug om vast te stellen welke verificatievragen werden gesteld, waardoor zijn kans op succes bij volgende pogingen toenam.

Analisten van Palo Alto Networks beschouwden het persistentiemechanisme van de aanval als bijzonder zorgwekkend. De dader registreerde een extern e-mailadres als authenticatiemethode binnen de Azure Active Directory omgeving van de organisatie. Deze stap toonde een duidelijke intentie aan om toegang te behouden, ook na de onmiddellijke loondiefstal. De aanvaller compromitteerde systematisch meerdere werknemersaccounts om toegang te krijgen tot gevoelige salarisgegevens.

Na authenticatie wijzigde de aanvaller de direct-deposit informatie van diverse werknemers, waardoor hun salarisbetalingen werden omgeleid naar bankrekeningen die door hem werden beheerd. De frauduleuze activiteit bleef wekenlang onopgemerkt omdat de legitieme inloggegevens en geldige multi-factor authenticatie de transacties normaal deden lijken.

Helpdesk operaties vormen een van de meest over het hoofd geziene zwakke plekken in de beveiliging van moderne organisaties. Procedures voor het opnieuw instellen van wachtwoorden en MFA-herregistratie, wanneer ze niet goed beveiligd zijn, kunnen tot grote kwetsbaarheden leiden. Dit incident laat zien hoe door mensen aangedreven workflows alle technische veiligheidsmaatregelen kunnen omzeilen.

Aanvallers begrijpen dat social engineering geen malware ontwikkeling, exploit discovery of netwerk intrusie vaardigheden vereist. Ze hebben alleen overtuigende communicatie en openbaar beschikbare informatie nodig.

Het onderzoek beperkte de impact uiteindelijk tot drie werknemersaccounts, maar legde diepere systemische problemen bloot in de beveiligingsinfrastructuur van de organisatie.
Bron

Aanvallers maken steeds vaker misbruik van het Windows Subsystem for Linux 2 (WSL2) om zich te verschuilen en onopgemerkt hun activiteiten uit te voeren binnen bedrijfsnetwerken. WSL2, oorspronkelijk bedoeld om ontwikkelaars een snelle Linux-omgeving op Windows te bieden, wordt nu door kwaadwillenden ingezet als een verborgen uitvalsbasis.

Door tools en payloads binnen de WSL2 virtuele machine uit te voeren, kunnen aanvallers opereren buiten het zicht van veel traditionele Windows beveiligingsmaatregelen. Dit resulteert in een subtiele, maar serieuze verschuiving in de manier waarop indringers zich verplaatsen, persistentie behouden en gegevens stelen op moderne bedrijfsnetwerken.

Elke WSL2 distributie draait als een afzonderlijke Hyper-V virtuele machine met een eigen bestandssysteem en processen. Veel endpoint security agents monitoren uitsluitend de Windows-kant, waarbij ze `wsl.exe` aanroepen loggen, maar negeren wat er daadwerkelijk binnen de Linux-omgeving gebeurt.

Aanvallers profiteren van deze blinde vlek door malware in het WSL-bestandssysteem te plaatsen, remote shells te lanceren en het netwerk te scannen vanuit een omgeving die door verdedigers zelden wordt gemonitord. Onderzoekers van SpecterOps hebben vastgesteld dat WSL2 al veel voorkomt op developer workstations die tijdens red team oefeningen als doelwit worden gekozen. Hun tests hebben aangetoond hoe een beacon object file elke geïnstalleerde WSL2 distributie kan bereiken, willekeurige opdrachten kan uitvoeren en interessante bestanden kan lezen zonder duidelijke waarschuwingen te genereren.

In een echte aanval stelt deze werkwijze indringers in staat om van een zwaar bewaakte Windows-host over te stappen naar een veel stillere Linux-omgeving, terwijl ze toegang behouden tot interne resources. Dit gebruik van WSL2 verandert het risicoprofiel voor veel organisaties. Klassieke Windows telemetrie registreert mogelijk niet meer dan het initiële `wsl.exe` proces, zelfs wanneer een volledige toolset aan de Linux-kant actief is.

Blue teams kunnen laterale bewegingen, credential theft en data staging missen, omdat dit alles binnen de virtuele machine plaatsvindt. Voor slachtoffers betekent dit langere dwell time, moeilijkere onderzoeken en een grotere kans dat aanvallers vertrekken met broncode of gevoelige bedrijfsgegevens.

Vanuit het perspectief van een verdediger biedt WSL2 aanvallers een dubbele laag bescherming. Security tools instrumenteren mogelijk niet de Linux kernel of het bestandssysteem, en velen scannen de `$WSL` share niet, waar payloads kunnen worden opgeslagen. Binnen de virtuele machine kunnen indringers vertrouwde Linux utilities uitvoeren die opgaan in normale beheertaken. SpecterOps analisten benadrukken ook hoe misbruik van WSL2 veel bestaande alerting rules verzwakt. In plaats van nieuwe Windows services of verdachte drivers, zien verdedigers een kort `wsl.exe` proces en weinig anders.

Deze bevindingen onderstrepen de noodzaak van uitgebreide monitoring en logging die diep doordringt in de WSL2 activiteit. Organisaties moeten hun beveiligingsstrategieën aanpassen om de risico's die WSL2 introduceert te mitigeren en ervoor te zorgen dat ze niet onwetend de deur openzetten voor cyberaanvallen.
Bron

Cybercriminelen verspreiden een nieuwe malwarecampagne door gebruikers te misleiden met valse versies van Malwarebytes-software. De slachtoffers lopen hierdoor het risico dat hun inloggegevens en cryptocurrency wallets worden gestolen. Beveiligingsonderzoekers ontdekten dat deze operatie actief was tussen 11 en 15 januari 2026. De aanvallers gebruiken speciaal vervaardigde ZIP-bestanden die legitieme Malwarebytes-installatieprogramma's nabootsen.

De valse bestanden hebben namen als "malwarebytes-windows-github-io-X.X.X.zip", waardoor ze authentiek lijken voor nietsvermoedende gebruikers die denken dat ze echte antivirusbescherming downloaden. Het hoofddoel van de campagne is het verspreiden van informatie stelende malware die gevoelige gebruikersdata verzamelt. Deze kwaadaardige ZIP-archieven bevatten een combinatie van bestanden die zijn ontworpen om beveiligingsmechanismen te omzeilen en persistentie te vestigen op geïnfecteerde systemen.

Wanneer gebruikers de inhoud extraheren en een bestand uitvoeren dat lijkt op de legitieme Malwarebytes executable, activeren ze onbewust een reeks kwaadaardige gebeurtenissen die uiteindelijk hun digitale veiligheid en persoonlijke informatie in gevaar brengen. VirusTotal-analisten identificeerden de malware na onderzoek van de infectiepatronen en bestandsstructuren. Ze merkten op dat alle verdachte ZIP-archieven een consistente identifier delen, een zogenaamde behash-waarde van "4acaac53c8340a8c236c91e68244e6cb". Deze technische markering bleek cruciaal bij het volgen van de omvang van de campagne en het identificeren van extra varianten die in de operatie werden gebruikt.

De onderzoekers documenteerden hoe de malware werkt via een geavanceerde gelaagdheidstechniek die detectie en analyse bemoeilijkt. De aanval is gebaseerd op een misleidende techniek genaamd DLL sideloading, die misbruik maakt van de manier waarop Windows legitieme softwarebibliotheken laadt. De kwaadaardige payload is verborgen in een bestand met de naam CoreMessaging.dll.

Wanneer de legitieme Malwarebytes executable wordt uitgevoerd, laadt het besturingssysteem deze kwaadaardige DLL in plaats van het echte bibliotheekbestand. De aanvallers plaatsen zowel de valse DLL als de legitieme EXE in dezelfde map, waardoor Windows wordt misleid om de malware uit te voeren zonder argwaan te wekken.

De kwaadaardige DLL's bevatten kenmerkende metadata, waaronder handtekeningstrings zoals "© 2026 Eosinophil LLC" en ongebruikelijke geëxporteerde functies met alfanumerieke reeksen zoals "15Mmm95ml1RbfjH1VUyelYFCf" en "2dlSKEtPzvo1mHDN4FYgv". Deze kenmerken stellen beveiligingsonderzoekers in staat om te zoeken naar gerelateerde samples en de bredere campagne te volgen.

Zodra de kwaadaardige DLL wordt uitgevoerd, dropt deze secundaire infostealers die specifiek gericht zijn op cryptocurrency wallet-informatie en opgeslagen browsergegevens, waardoor aanvallers identiteitsdiefstal en cryptocurrency diefstal kunnen plegen.
Bron

Cybercriminelen zetten Visual Studio Code (VS Code), een populaire code-editor, om in een aanvalsplatform door gebruik te maken van het uitgebreide ecosysteem van extensies. Via gemanipuleerde extensies slagen ze erin om malware in meerdere stappen op de werkstations van ontwikkelaars te plaatsen.

De meest recente campagne, aangeduid als 'Evelyn Stealer', verbergt zich achter een kwaadaardige extensie die een heimelijke tool voor het stelen van informatie levert in een reeks zorgvuldig geplande stappen. In plaats van zich te richten op eindgebruikers, richten de aanvallers zich specifiek op ontwikkelaars, die vaak de sleutels in handen hebben tot broncode, cloudconsoles en cryptocurrency-activa.

De aanval begint zodra een slachtoffer een getrojaniseerde Visual Studio Code-extensie installeert die nuttig of onschuldig lijkt. Achter de schermen wordt een nep Lightshot.dll-component gedropt, die vervolgens wordt geladen door de legitieme Lightshot.exe screenshot tool. Vanaf dat punt ontvouwt zich de malwareketen: nieuwe payloads worden opgehaald, verborgen PowerShell-opdrachten worden uitgevoerd en de basis wordt gelegd voor de uiteindelijke Evelyn Stealer executable, die op grote schaal gegevens steelt.

Analisten van Trend Micro benadrukten dat de aanvallers misbruik maken van het vertrouwen in de Visual Studio Code Marketplace. De extensie wordt gebruikt om een volledige aanvalsketen te organiseren, van de initiële loader tot de uiteindelijke gegevensdiefstal. Door misbruik te maken van een bekende tool als Lightshot en door gebruik te maken van exports die ondertekend lijken, gaat de eerste fase op in de normale activiteit van de ontwikkelaar, terwijl in stilte latere fasen van de compromittering worden opgezet.

Eenmaal volledig uitgevoerd, oogst Evelyn Stealer browserwachtwoorden, cookies, cryptocurrency wallets, messaging sessies, VPN-profielen, Wi-Fi-sleutels en gevoelige bestanden van de gecompromitteerde machine. De malware maakt ook screenshots en verzamelt gedetailleerde systeeminformatie, waarna alles wordt gecomprimeerd in een enkel archief en geüpload naar een door de aanvallers beheerde FTP-server.

Voor organisaties kan een enkele geïnfecteerde ontwikkelaarslaptop broncode, cloud access tokens en productie credentials blootleggen, waardoor een misstap in de toolchain kan uitmonden in een omvangrijke inbreuk.

De eerste fase van de aanval bevindt zich in een kwaadaardige Visual Studio Code-extensie en vermomt zich als Lightshot.dll, die wordt uitgevoerd door Lightshot.exe wanneer de gebruiker een screenshot maakt. Wanneer geactiveerd, lanceert deze downloader een verborgen PowerShell-opdracht die een tweede fase bestand met de naam iknowyou.model ophaalt van een extern domein, opslaat als runtime.exe en uitvoert. De Evelyn Stealer payload creëert een AppData Evelyn folder, injecteert Edge en Chrome met abe_decrypt.dll, en uploadt vervolgens een zip-bestand via FTP.
Bron

Cybercriminelen hebben een geraffineerde malwarecampagne gelanceerd gericht op Zuid-Koreaanse gebruikers, waarbij de Remcos remote access trojan (RAT) wordt verspreid via misleidende installatieprogramma's die zich voordoen als de legitieme VeraCrypt encryptiesoftware. Beveiligingsexperts waarschuwen dat de aanvalscampagne zich primair richt op personen die betrokken zijn bij illegale online gokplatformen, maar dat ook reguliere gebruikers die encryptietools downloaden het slachtoffer kunnen worden.

De aanvallers maken gebruik van twee verschillende distributiemethoden. De eerste methode betreft valse database lookup programma's die de indruk wekken dat ze blocklists voor goksite accounts controleren. De tweede methode maskeert de malware als een echte VeraCrypt utility installer. Beide distributiekanalen verspreiden malware via webbrowsers en messaging platforms zoals Telegram, met behulp van misleidende bestandsnamen zoals “*****usercon.exe” en “blackusernon.exe”.

Analisten van ASEC hebben vastgesteld dat de valse installatieprogramma's, na executie, kwaadaardige VBS scripts installeren die verborgen zijn in hun resource secties. Deze scripts worden naar de tijdelijke directory van het systeem geschreven met willekeurige bestandsnamen voordat ze worden geactiveerd.

De malware initieert vervolgens een complexe infectieketen bestaande uit meerdere fasen van geobfuskeerde VBS- en PowerShell-scripts. Dit leidt uiteindelijk tot de installatie van de Remcos RAT payload, die aanvallers volledige controle geeft over de geïnfecteerde systemen.

De impact van deze campagne reikt verder dan eenvoudige ongeautoriseerde toegang. Remcos RAT beschikt over uitgebreide mogelijkheden voor data diefstal, waaronder keylogging, screenshot capture, webcam- en microfooncontrole en het extraheren van inloggegevens uit webbrowsers. Slachtoffers die geïnfecteerd zijn met deze malware lopen aanzienlijke risico's op compromittering van hun gevoelige persoonlijke informatie, inloggegevens en financiële gegevens, die vervolgens naar de command-and-control servers van de aanvallers worden verzonden.

De aanval maakt gebruik van een geavanceerd achtstaps infectieproces, ontworpen om detectie door beveiligingssoftware te ontwijken. Na de initiële uitvoering van de dropper doorloopt de malware vijf scripting downloader fasen met behulp van geobfuskeerde VBS- en PowerShell-scripts met misleidende bestandsextensies. Deze tussenliggende scripts bevatten dummy commentaar, junk data en bestanden die zich voordoen als JPG-afbeeldingen, terwijl ze in werkelijkheid Base64-gecodeerde kwaadaardige payloads bevatten.

De infectieketen culmineert in een .NET-gebaseerde injector die communiceert met aanvallers via Discord webhooks. Deze injector downloadt de uiteindelijke Remcos RAT payload van externe servers, decrypt it en injecteert het direct in het AddInProcess32.exe proces om persistentie te garanderen.

Opvallend is dat beveiligingsonderzoekers hebben ontdekt dat sommige varianten Koreaanse strings gebruiken in hun configuratie-instellingen en registry keys, wat wijst op de gerichte aard van de campagne op Koreaans sprekende gebruikers.
Bron

Een nieuwe clipboard hijacker verspreidt zich via Discord-gemeenschappen, waarmee cryptocurrency wordt gestolen van nietsvermoedende gamers en streamers. De campagne maakt misbruik van het vertrouwen binnen deze online gemeenschappen en richt zich op gebruikers die actief zijn in de gaming-, gok- en cryptocurrency streaming-wereld.

De aanval verloopt via een kwaadaardig Windows-programma dat wordt aangeboden als een handige streaming- of beveiligingstool. Eenmaal geïnstalleerd, monitort het programma op de achtergrond de inhoud van het klembord van de gebruiker. Het wacht geduldig op het moment dat een crypto wallet adres wordt gekopieerd. Wanneer het slachtoffer dit adres vervolgens in een exchange, wallet of betaalveld plakt, wordt het adres ongemerkt vervangen door een adres dat onder controle staat van de aanvallers. Dit leidt ertoe dat de fondsen worden doorgesluisd naar de criminelen zonder duidelijke sporen achter te laten.

De dreigingsactor, aangeduid als "RedLineCyber," richt zich specifiek op Discord-servers die verbonden zijn met gaming, gokken en cryptocurrency streaming. De aanvallers bouwen eerst een vertrouwensrelatie op met leden van de server. Ze presenteren zichzelf als ontwikkelaars van handige tools en delen vervolgens privé een bestand met de naam Pro.exe of peeek.exe. Slachtoffers wordt wijsgemaakt dat de tool hen helpt bij het beheren of beschermen van hun wallet adressen tijdens live sessies, waardoor het er nuttig uitziet in plaats van verdacht.

Achter dit vriendelijke masker schuilt een gerichte diefstaloperatie die transacties discreet kan leegmaken door een simpele misstap bij het kopiëren en plakken. CloudSEK-analisten ontdekten deze operatie tijdens het monitoren van ondergrondse gemeenschappen en Discord-kanalen die worden gebruikt door cybercriminelen. Tijdens deze onderzoeken identificeerden de onderzoekers de valse "RedLine Solutions" persona en traceerden de malware terug naar een Python-gebaseerd executable bestand, verpakt met PyInstaller.

Hun analyse bevestigde dat het programma zich niet gedraagt als klassieke informatie-stelende malware. In plaats daarvan is het specifiek gericht op één taak: het manipuleren van klembordgegevens die gekoppeld zijn aan populaire cryptocurrencies. Het programma creëert een map genaamd CryptoClipboardGuard in de Windows %APPDATA% directory en registreert zichzelf in de Run key van het register, zodat het automatisch start bij het opstarten van het systeem. Het checkt het klembord ongeveer drie keer per seconde. Als een geldig crypto-adres wordt gedetecteerd, overschrijft het de inhoud met een vooraf ingesteld aanvallers-walletadres.

De impact van deze campagne is aanzienlijk omdat het gebruikers treft op het exacte moment dat hun aandacht het zwakst is. Veel streamers en frequent traders kopiëren en plakken lange wallet strings zonder elke teken te controleren. Doordat de malware opereert zonder command-and-control verkeer en minimale systeembronnen gebruikt, kan deze langdurig actief blijven en wachten op hoogwaardige overdrachten. Blockchain traces gekoppeld aan de ingebedde wallet adressen van de aanvallers tonen reeds gestolen fondsen over Bitcoin, Ethereum, Solana, Dogecoin, Litecoin en Tron.
Bron

Een nieuwe, geavanceerde vorm van information-stealing malware, genaamd SolyxImmortal, richt zich op Windows-systemen. De in Python geschreven malware combineert diverse data-diefstaltechnieken in een enkel, persistent implantaat, ontworpen voor langdurige surveillance in plaats van destructieve acties. De ontdekking van SolyxImmortal in januari 2026 markeert een verschuiving naar meer heimelijke operationele modellen die continu monitoren prioriteren boven snelle exploitatie.

De malware opereert discreet op de achtergrond en verzamelt gebruikersnamen en wachtwoorden, documenten, toetsaanslagen en screenshots. Deze gestolen informatie wordt vervolgens direct naar de aanvallers verzonden via Discord webhooks. Dit gebruik van Discord, een populaire communicatieplatform, stelt de aanvallers in staat om hun activiteiten te maskeren en detectie te ontwijken.

Het aanvalsoppervlak is gecentreerd rond de verspreiding van de malware, vermomd als een legitiem lijkend Python-script met de naam "Lethalcompany.py". Zodra dit script wordt uitgevoerd, vestigt SolyxImmortal onmiddellijk persistentie via meerdere mechanismen en start bewakingsprocessen op de achtergrond.

De malware verspreidt zich niet lateraal of repliceert zichzelf; de focus ligt uitsluitend op het oogsten van gegevens van een enkel gecompromitteerd apparaat. Deze gerichte aanpak stelt aanvallers in staat om langdurig inzicht te behouden in gebruikersactiviteit zonder onnodige aandacht te trekken.

Analisten van Cyfirma hebben SolyxImmortal geïdentificeerd als een geavanceerde bedreiging die gebruikmaakt van legitieme Windows API's en vertrouwde platforms voor command-and-control communicatie. Het ontwerp van de malware getuigt van operationele volwassenheid, waarbij betrouwbaarheid en stealth worden benadrukt boven complexiteit.

Door Discord webhooks te gebruiken voor datatransmissie, misbruiken aanvallers de reputatie van het platform en de HTTPS-encryptie om netwerkgebaseerde detectie te vermijden. Deze techniek demonstreert hoe dreigingsactoren in toenemende mate legitieme services misbruiken om kwaadaardige activiteiten te verbergen.

SolyxImmortal vestigt persistentie door zichzelf te kopiëren naar een verborgen locatie binnen de AppData-directory, waarbij het wordt hernoemd om op een legitiem Windows-component te lijken. Vervolgens registreert het zichzelf in de Windows-register Run key, waardoor automatische uitvoering bij elke gebruikersaanmelding wordt gegarandeerd zonder dat administratieve privileges vereist zijn. Dit garandeert een voortdurende werking, zelfs na het opnieuw opstarten van het systeem.

De malware richt zich op meerdere browsers, waaronder Chrome, Edge, Brave en Opera GX, door toegang te krijgen tot hun profielmappen. De malware extraheert de belangrijkste encryptiesleutels van de browser met behulp van Windows DPAPI en ontsleutelt vervolgens opgeslagen inloggegevens via AES-GCM-encryptie. Herstelde inloggegevens verschijnen in platte tekst voordat ze worden geëxfiltreerd, wat wijst op minimale lokale beveiligingsmaatregelen.

De malware oogst ook documenten door de thuismap van de gebruiker te scannen op bestanden met specifieke extensies, zoals .pdf, .docx en .xlsx, waarbij de resultaten worden gefilterd op bestandsgrootte om netwerkoverhead te voorkomen. Alle gestolen artefacten worden gecomprimeerd tot een ZIP-archief en verzonden naar door de aanvallers gecontroleerde Discord webhooks, waardoor de datadiefstalcyclus wordt voltooid.
Bron

Een grootschalige malvertising campagne, die in september 2025 werd ontdekt, vormt een serieuze bedreiging voor Windows-gebruikers wereldwijd. Aanvallers hebben valse PDF-bewerkingsapplicaties gecreëerd en gepromoot via Google Ads om de gevaarlijke informatie-stelende malware 'TamperedChef' te verspreiden. Deze malware richt zich op gebruikers die online zoeken naar handleidingen voor apparaten en PDF-bewerkingstools, waarbij gebruik wordt gemaakt van gangbaar zoekgedrag om op stille wijze infecties te verspreiden in diverse industrieën en regio's.

De campagne begon officieel op 26 juni 2025, toen de aanvallers meerdere websites registreerden die sterk leken op legitieme sites en de trojanized applicatie 'AppSuite PDF Editor' promootten. Gebruikers die dachten legitieme software te downloaden, ontvingen in werkelijkheid een installatiebestand met verborgen kwaadaardige code, ontworpen om gevoelige browserdata te stelen.

Wat deze aanval bijzonder bedrieglijk maakt, is de timing. De malware bleef ongeveer 56 dagen inactief, wat overeenkomt met de typische looptijd van advertentiecampagnes. Deze strategische vertraging stelde de malware in staat om zoveel mogelijk apparaten te infecteren voordat schadelijk gedrag werd vertoond.

Analisten en onderzoekers van Sophos identificeerden de malware na de ontdekking van meer dan 100 geïnfecteerde systemen van klanten tijdens hun managed detection and response operaties. Hun onderzoek wees uit dat de slachtoffers voornamelijk uit Duitsland, het Verenigd Koninkrijk en Frankrijk kwamen, hoewel de campagne minstens 19 landen wereldwijd heeft getroffen. De aanvallers richtten zich op industrieën die afhankelijk zijn van gespecialiseerde apparatuur, waar werknemers frequent online zoeken naar producthandleidingen – een gedrag dat de aanvallers systematisch uitbuitten om hun kwaadaardige installatieprogramma te verspreiden.

Het infectiemechanisme van TamperedChef maakt gebruik van geavanceerde multi-stage deployment tactieken, ontworpen om detectie te vermijden. Gebruikers beginnen met het klikken op kwaadaardige advertenties die verschijnen in zoekresultaten op platforms zoals Google en Bing. Deze advertenties leiden hen naar misleidende websites zoals fullpdf.com en pdftraining.com, waar ze het Appsuite-PDF.msi installatiebestand downloaden.

Na uitvoering dropt dit bestand een setup executable genaamd PDFEditorSetup.exe, samen met een geobfusceerd JavaScript-bestand en een extra executable. PDFEditorSetup.exe vestigt vervolgens in stilte persistentie door registry entries en Windows scheduled tasks aan te maken, waardoor de malware systeemherstarts overleeft. Uiteindelijk implementeert het installatieprogramma PDF Editor.exe, de daadwerkelijke infostealer component, die op 21 augustus 2025 ontwaakte om browsergegevens, cookies en autofill data te gaan oogsten.

De aanvallers versterkten hun operatie verder door legitieme code-signing certificaten van Maleisische en Amerikaans geregistreerde entiteiten te misbruiken, waardoor hun kwaadaardige bestanden Windows SmartScreen beveiligingen konden omzeilen en betrouwbaar leken voor nietsvermoedende gebruikers.

Dit gelaagde infectieproces illustreert hoe moderne aanvallers malvertising, legitiem ogende software interfaces en system-level evasion technieken combineren om het infectiesucces te maximaliseren en vroege detectie te minimaliseren.
Bron

Cybersecurityonderzoekers hebben een nieuwe en geavanceerde Remote Access Trojan (RAT) ontdekt, genaamd Pulsar RAT. Deze malware is een afgeleide van de open-source Quasar RAT, maar met significante verbeteringen die het mogelijk maken om op een vrijwel onzichtbare manier toegang te houden tot systemen, door middel van geavanceerde ontwijkingsmethoden.

Pulsar RAT is een modulaire tool gericht op Windows-systemen en vertegenwoordigt een aanzienlijke evolutie in de complexiteit van cyberdreigingen. Het combineert 'memory-only' executie met verborgen virtual network computing (HVNC) functionaliteit, waardoor traditionele detectiemethoden worden omzeild.

De malware werkt volgens een client-server model, met TLS-versleutelde communicatie en het MessagePack binair protocol voor efficiënte commando-overdracht. Persistentie wordt bereikt via UAC bypass mechanismen en het creëren van geplande taken bij systeem-login met verhoogde privileges.

Een opvallend kenmerk is de manier waarop Pulsar zijn command-and-control (C2) configuratie ophaalt: via openbare pastebin sites. Payload decryptie gebeurt met behulp van ingebedde cryptografische sleutels om de C2 server adressen te achterhalen. Dit biedt operationele flexibiliteit en vermindert de directe blootstelling van de infrastructuur.

De geavanceerde anti-analyse functies omvatten controles op virtualisatie. Pulsar inspecteert disk labels op indicatoren van virtuele machines, zoals "QEMU HARDDISK" en andere hypervisor signatures. Indien een virtuele machine wordt gedetecteerd, stopt de uitvoering onmiddellijk om sandbox analyse te voorkomen. Anti-debugging bescherming maakt het analyseren met security tools verder lastig.

De 'memory-only' executie, waarbij payloads direct in het geheugen worden geladen via .NET reflectie zonder bestanden naar de harde schijf te schrijven, is een cruciale vernieuwing. Dit creëert een 'fileless' aanvalsvector die disk-gebaseerde beveiligingsmonitoring omzeilt, forensische artefacten minimaliseert en de zichtbaarheid voor incident response aanzienlijk vermindert. Code injectie maakt executie binnen legitieme processen mogelijk, waardoor detectie op basis van procesnamen ineffectief wordt.

Distributie vindt onder andere plaats via 'supply chain' compromitteringen. Een voorbeeld hiervan is een npm-pakket campagne uit 2025 waarbij kwaadaardige libraries zoals "soldiers" en "@mediawave/lib" werden gebruikt. Deze pakketten gebruikten zeven lagen van obfuscatie, waaronder Unicode variabele encoding, hexadecimale conversie, Base64 encoding en steganografie in PNG afbeeldingen. Na installatie leverden post-install scripts automatisch payloads aan ontwikkelaars, met honderden wekelijkse downloads tot gevolg voordat detectie plaatsvond.

Analyse toont aan dat typische implementatiesequenties gebruikmaken van kwaadaardige BAT-bestanden die UAC bypass operaties uitvoeren door DelegateExecute registry waarden te verwijderen en commando's in ms-settings registry keys te injecteren. Dit lanceert computerdefaults.exe met verhoogde privileges, waarna geplande taken worden aangemaakt voor persistentie bij elke user logon.

Pulsar richt zich primair op Windows-gebruikers en organisaties die geen geavanceerde Endpoint Detection and Response (EDR) oplossingen hebben, met een specifieke focus op ontwikkelaars via 'supply chain' aanvallen. Recentelijk zijn er gevallen ontdekt waarbij Pulsar samen met andere RATs, zoals Quasar, NjRAT en XWorm, via open directories werden verspreid, wat wijst op zowel opportunistische als gerichte infectiecampagnes.

De malware’s modulaire ontwerp maakt het mogelijk om plugins toe te voegen voor aanpassing aan specifieke campagne-objectieven en doelomgevingen. Remediatie van Pulsar infecties vereist een aanzienlijke inspanning, vaak 200-500 manuren, en kan leiden tot intellectuele eigendomsdiefstal en inbreuken op regelgeving.

De combinatie van stealth capaciteiten, uitgebreide functionaliteit en 'supply chain' aanvalsvectoren positioneert Pulsar RAT als een opkomende kritieke dreiging die onmiddellijke aandacht en defensieve prioriteit vereist.
Bron

Een significante kwetsbaarheid in de Google-omgeving stelde aanvallers in staat om de privacycontroles van Google Calendar te omzeilen met behulp van een reguliere kalenderuitnodiging. Deze ontdekking onderstreept de opkomst van een nieuwe categorie bedreigingen, bekend als "Indirect Prompt Injection", waarbij kwaadaardige instructies worden verborgen in legitieme databronnen die door Artificial Intelligence (AI) modellen worden verwerkt.

Deze specifieke exploit maakte ongeautoriseerde toegang tot privégegevens van vergaderingen mogelijk, zonder enige directe interactie van het slachtoffer, behalve het ontvangen van een uitnodiging. De kwetsbaarheid werd geïdentificeerd door het application security team van Miggo. Hun onderzoek toonde aan dat AI-tools, zoals Google Gemini, ontworpen zijn om gebruikers te helpen door kalendergegevens te lezen en te interpreteren, maar dat deze functionaliteit tegelijkertijd een potentieel aanvalsoppervlak creëert.

Door een kwaadaardige natuurlijke taal prompt in het beschrijvingsveld van een kalenderuitnodiging in te bedden, kon een aanvaller Gemini manipuleren om acties uit te voeren waarvoor de gebruiker geen toestemming had gegeven. Het exploitatieproces is afhankelijk van de manier waarop Gemini context interpreteert om behulpzaam te zijn. De aanvalsketen bestond uit drie afzonderlijke fasen die een goedaardige functie transformeerde in een data-exfiltratietool.

De eerste fase betrof het creëren van de payload. Een aanvaller creëert een kalenderitem en verstuurt een uitnodiging naar het doelwit. De beschrijving van dit item bevat een verborgen instructie. In de proof-of-concept instrueerde de prompt Gemini om stilletjes de agenda van de gebruiker voor een specifieke dag samen te vatten en die gegevens in de beschrijving van een nieuw kalenderitem te schrijven met de titel "vrij". Deze payload was ontworpen om eruit te zien als een standaardbeschrijving, maar bevatte semantische commando's voor de AI.

De tweede fase was het trigger mechanisme. De kwaadaardige payload bleef sluimerend in de kalender totdat de gebruiker op natuurlijke wijze met Gemini interageerde. Als de gebruiker een routinevraag stelde, zoals het controleren van zijn beschikbaarheid, zou Gemini de kalender scannen om een antwoord te formuleren. Tijdens dit proces nam het model de kwaadaardige beschrijving op en interpreteerde de verborgen instructies als legitieme commando's.

De laatste fase was het lek zelf. Voor de gebruiker leek Gemini normaal te functioneren en antwoordde dat de tijdslot vrij was. Echter, op de achtergrond voerde de AI de geïnjecteerde commando's uit. Het creëerde een nieuw item met de privé-agendasamenvattingen. Omdat kalenderinstellingen vaak toestaan dat de makers van uitnodigingen itemdetails kunnen bekijken, kon de aanvaller dit nieuwe item bekijken en met succes privégegevens exfiltreren zonder dat de gebruiker het wist.

Deze kwetsbaarheid onderstreept een cruciale verschuiving in application security. Traditionele beveiligingsmaatregelen richten zich op syntactische bedreigingen, zoals SQL-injectie of Cross-Site Scripting (XSS), waarbij verdedigers zoeken naar specifieke codepatronen of kwaadaardige karakters. Deze bedreigingen zijn over het algemeen deterministisch en gemakkelijker te filteren met behulp van firewalls.

In tegenstelling hiermee zijn kwetsbaarheden in Large Language Models (LLMs) semantisch. De kwaadaardige payload die in de Gemini-aanval werd gebruikt, bestond uit gewone Engelse zinnen. De instructie om "vergaderingen samen te vatten" is geen inherent gevaarlijke code; het wordt pas een bedreiging wanneer de AI de intentie interpreteert en deze uitvoert met privileges op hoog niveau. Dit maakt detectie moeilijk voor traditionele beveiligingstools die vertrouwen op patroonherkenning, omdat de aanval linguïstisch identiek lijkt aan een legitiem gebruikersverzoek.

Na de verantwoordelijke openbaarmaking door het Miggo-onderzoeksteam heeft het Google-beveiligingsteam de bevindingen bevestigd en een fix geïmplementeerd om de kwetsbaarheid te mitigeren.
Bron

Onderzoekers van Checkpoint Research hebben VoidLink ontdekt, een malware framework dat vrijwel zeker is gegenereerd met behulp van kunstmatige intelligentie (AI). Deze ontdekking markeert een significant moment in de cyberbeveiligingswereld, waarmee de langverwachte vrees voor AI-gestuurde malware realiteit wordt. VoidLink onderscheidt zich door zijn hoge niveau van volwassenheid, functionaliteit, efficiënte architectuur en flexibele operationele model, gebruikmakend van technologieën zoals eBPF en LKM rootkits en dedicated modules voor cloud enumeratie en post-exploitatie in container omgevingen.

De onderzoekers stootten op VoidLink en zagen het in bijna real-time evolueren van een functionele ontwikkelingsbuild naar een uitgebreid, modulair framework. De ontwikkeling leek, gezien de complexiteit, het werk van een geavanceerde actor. De ondersteunende infrastructuur vertoonde echter operational security (OPSEC) fouten, waardoor interne materialen, waaronder documentatie, broncode en projectcomponenten, werden blootgesteld. Deze lekken bevatten gedetailleerde planning artefacten, zoals sprints, ontwerpideeën en tijdlijnen voor drie afzonderlijke interne "teams", die meer dan 30 weken aan geplande ontwikkeling bestreken.

De sprint timeline bleek echter niet overeen te komen met de waargenomen snelle ontwikkeling van de malware. Diepgaand onderzoek onthulde dat het ontwikkelingsplan zelf was gegenereerd en georkestreerd door een AI-model en waarschijnlijk werd gebruikt als blauwdruk voor de bouw, uitvoering en test van het framework. De AI-geproduceerde documentatie bevatte gedetailleerde tijdstempels en onthullende informatie, waaruit bleek dat één individu VoidLink in minder dan een week van concept naar een werkende realiteit bracht.

De ontwikkeling van VoidLink volgde een Spec Driven Development (SDD) aanpak, waarbij de ontwikkelaar eerst specificeert wat er gebouwd moet worden, vervolgens een plan maakt, dit plan in taken opdeelt en pas daarna een agent toestaat om het te implementeren. Artifacts suggereren dat de ontwikkelaar TRAE SOLO, een AI-assistent ingebed in TRAE, een AI-gecentreerde IDE, heeft gebruikt. TRAE genereerde een Chinees-talig instructiedocument dat inzicht geeft in de vroege planning en basisvereisten van VoidLink. De opening directive was niet om VoidLink direct te bouwen, maar om het te ontwerpen rond een dun skelet en een concreet uitvoeringsplan te produceren om er een werkend platform van te maken.

Naast de TRAE-gegenereerde prompts werd een uitgebreid intern planningsmateriaal ontdekt, waaronder een werkplan voor drie ontwikkelingsteams (Core, Arsenal en Backend), met sprint schema's, feature breakdowns en coding guidelines. De documentatie, opgeslagen als Markdown (MD) bestanden, draagt alle kenmerken van een Large Language Model (LLM): gestructureerd, consistent geformatteerd en zeer gedetailleerd.

Een vergelijking van de code standaardisatie instructies met de herstelde VoidLink broncode toont een opvallende overeenstemming aan. De codebase werd gepresenteerd als een 30-weken durende engineering inspanning, maar bleek in een aanzienlijk korter tijdsbestek te zijn uitgevoerd. Een hersteld test artifact, gedateerd op 4 december, slechts een week na de start van het project, toonde aan dat VoidLink al functioneel was en meer dan 88.000 regels code omvatte.

De onderzoekers repliceerden de workflow met behulp van de TRAE IDE en de beschikbare documentatie, en zagen dat het model code genereerde die in structuur en inhoud leek op de broncode van VoidLink. Door elke sprint te implementeren volgens de gespecificeerde code guidelines, feature lijsten en acceptatiecriteria, en tests te schrijven om deze te valideren, implementeerde het model snel de gevraagde code.

VoidLink demonstreert dat AI, in de handen van individuele ervaren dreigingsactoren of malware ontwikkelaars, geavanceerde, stealthy en stabiele malware frameworks kan bouwen die lijken op die van ervaren dreigingsgroepen. Deze ontdekking roept de vraag op hoeveel andere geavanceerde malware frameworks er zijn gebouwd met behulp van AI, zonder dat er sporen zijn achtergelaten.
Bron

Een nieuw, geavanceerd malware framework genaamd VoidLink vormt een aanzienlijke dreiging voor Linux cloud omgevingen. Check Point Research ontdekte het door China ontwikkelde malware framework op 13 januari 2026, wat het begin markeert van een nieuw tijdperk in gerichte aanvallen op Linux systemen. Het nieuws komt van CybersecurityNews.com.

Anders dan traditionele rootkits, die vaak kampen met compatibiliteitsproblemen over verschillende Linux kernel versies, introduceert VoidLink een innovatieve architectuur die deze technische beperkingen omzeilt. Het malware verspreidt zich via een zorgvuldig georkestreerd infectieproces, ontworpen om detectie te minimaliseren.

De aanval begint met een kleine, initiële dropper, geschreven in de programmeertaal Zig, die een verbinding tot stand brengt met command-and-control servers. Zodra de verbinding is gelegd, downloadt de malware grotere componenten volledig in het geheugen, zonder de harde schijf aan te raken. Hierdoor is het moeilijker om de malware te ontdekken met behulp van traditionele bestandsscanningmethoden.

Analisten van Sysdig hebben de geavanceerde functies van de malware in detail onderzocht. Hun onderzoek onthulde dat VoidLink verschillende ontwijkingstechnieken bevat, specifiek ontworpen om belangrijke beveiligingsproducten van leveranciers zoals CrowdStrike, SentinelOne en Carbon Black te detecteren en te omzeilen.

Wanneer dergelijke beveiligingstools op een systeem worden gedetecteerd, past VoidLink automatisch zijn gedrag aan om minder opvallend te worden. Het verandert fundamenteel de manier waarop het opereert, afhankelijk van de omgeving. De malware scant actief naar endpoint protection software door lopende processen en bestandssysteempaden te analyseren.

Het framework vertoont kenmerken van Chinese technische expertise, gecombineerd met AI-ondersteuning tijdens de ontwikkeling. Technische commentaren in de malwarecode zijn geschreven in het Chinees en tonen degelijke kennis van kernel development. Tegelijkertijd vertonen delen van de code patronen die typisch zijn voor de output van grote taalmodellen. Dit suggereert dat menselijke ontwikkelaars kunstmatige intelligentie hebben gebruikt om bepaalde ontwikkelingstaken te versnellen, terwijl ze de controle behielden over de architectuur en beveiligingsfuncties.

Een van de meest opvallende eigenschappen van VoidLink is het vermogen om in real-time beveiligingstools te herkennen en erop te reageren. Wanneer producten zoals CrowdStrike Falcon of SentinelOne worden gedetecteerd, schakelt de malware over naar een "paranoïde modus", waarbij de communicatiepatronen drastisch worden aangepast. Tijdens normale operaties neemt het elke 4096 milliseconden contact op met de command-and-control server, maar bij de aanwezigheid van beveiligingsproducten worden deze intervallen verlengd tot 5000 milliseconden en wordt de randomisatie verhoogd. Dit vermindert de kans op detectie aanzienlijk door het netwerkverkeer van de malware naadloos te laten opgaan in legitiem verkeer.

Daarnaast bevat het framework geavanceerde ontwijkingsmogelijkheden voor dynamische analysetools. VoidLink zoekt naar de Frida instrumentatie toolkit door specifieke procesnamen te zoeken en geheugenregio's te scannen op Frida bibliotheken. Het detecteert debuggers zoals GDB door systeemstatusbestanden te controleren die onthullen of er momenteel een debuggingtool aan het proces is gekoppeld. Deze gelaagde detectieaanpak demonstreert een geavanceerd defensief bewustzijn dat reverse engineering en analyse aanzienlijk bemoeilijkt voor beveiligingsonderzoekers. De opkomst van VoidLink markeert een serieuze escalatie in de complexiteit en verfijning van malware gericht op Linux cloud omgevingen, en onderstreept de noodzaak van geavanceerde beveiligingsoplossingen en een voortdurende alertheid.
Bron

Een groep van 21 computerwetenschappers, experts in de veiligheid van online stemsystemen, heeft een krachtige waarschuwing afgegeven over de risico's van online stemmen. Zij stellen categorisch dat stemmen via internet inherent onveilig en ongeschikt is voor verkiezingen, en dat er momenteel geen bekende technologie bestaat om dit veilig te maken.

De wetenschappers uiten hun bezorgdheid over leveranciers van online stemsystemen die beweren dat hun systemen de problemen omtrent veiligheid ondervangen. Volgens de experts zijn al deze claims ongegrond. "Alle online stemsystemen zijn onveilig," zo stellen zij in een blogposting. "Deze onveiligheid is ernstiger dan bij een goed uitgevoerd papieren stemsysteem, omdat een klein aantal mensen ongemerkt alle stemmen die via het systeem gaan kan aanpassen." Ze benadrukken dat dit al jaren bekend is en dat elk voorgesteld systeem voor online stemmen met fundamentele problemen kampt die niet met bestaande technologie kunnen worden opgelost.

De wetenschappers identificeren drie specifieke en serieuze problemen met online stemsystemen en 'vote-by-smartphone' systemen. Ten eerste kan malware op de computer of telefoon van de kiezer de stem manipuleren, waardoor er een andere stem wordt doorgegeven dan de kiezer daadwerkelijk heeft uitgebracht. Ten tweede kan malware of een kwaadwillende aanvaller stemmen op de stemserver zelf wijzigen. Ten slotte is er het risico dat malware de telcomputers van het verkiezingskantoor infecteert, waardoor de stemmen en uitslagen kunnen worden gemanipuleerd.

Hoewel traditionele stembiljetten ook niet volledig immuun zijn voor fraude, benadrukken de wetenschappers dat het cruciale verschil is dat een online systeem een veel grotere aanvalsmogelijkheid biedt. "Het probleem met online stembiljetten is dat een aanvaller, waar dan ook ter wereld, met één aanval een groot aantal stembiljetten kan aanpassen," aldus de wetenschappers. Dit maakt online stemmen aanzienlijk kwetsbaarder voor grootschalige manipulatie.

De kritiek van de wetenschappers richt zich specifiek op de Mobile Voting Foundation van Bradley Tusk, een stichting die zich inzet voor online stemmen en claimt dat dit veilig kan. De wetenschappers beschouwen deze beweringen als misleidend en gevaarlijk. Zij benadrukken dat het al decennia de wetenschappelijke consensus is dat online stemmen niet door enige bekende technologie te beveiligen is.

De wetenschappers sluiten hun pleidooi af met een oproep aan journalisten en politici om alert te zijn op partijen die beweren dat online stemmen wel veilig kan. Ze hopen dat door het benadrukken van de inherente veiligheidsrisico's, de implementatie van online stemsystemen kritisch zal worden heroverwogen.
Bron

De Nederlandsche Bank (DNB) heeft een wijziging doorgevoerd in de beveiliging van haar e-mailverkeer, waardoor vertrouwelijke informatie potentieel toegankelijker is geworden voor cloudaanbieder Microsoft. Dit onthulde Follow the Money (FTM) na onderzoek. DNB heeft end-to-end encryptie, in de vorm van S/MIME (Secure/Multipurpose Internet Mail Extensions), vervangen door TLS (Transport Layer Security).

Het cruciale verschil tussen deze twee methoden ligt in de encryptie zelf. S/MIME versleutelt de e-mail direct bij de verzender, waardoor deze onleesbaar is voor derden tijdens de transit. TLS daarentegen, versleutelt de verbinding tussen de mailservers. Dit betekent dat de e-mail tijdens het transport beveiligd is, maar in principe leesbaar is voor de serverbeheerder. In het geval van DNB is dat Microsoft, aangezien de bank gebruikmaakt van Microsoft 365.

De reden voor de overstap, aldus een woordvoerder van DNB tegenover FTM, is de complexiteit van S/MIME. "Het opzetten en duurzaam beheren van end-to-endencryptie voor communicatie met meer dan duizend onder toezicht staande instellingen is in de praktijk niet uitvoerbaar," verklaarde de woordvoerder. DNB stelt daarom te kiezen voor een "proportionele beveiliging", waarbij het beschermingsniveau in balans is met het beoogde gebruik en het risico. FTM plaatst hier vraagtekens bij, gezien S/MIME een standaard functie is in Microsoft Outlook en breed wordt toegepast.

DNB benadrukt dat het gebrek aan end-to-endencryptie geen significant probleem vormt, omdat e-mail primair wordt gebruikt voor communicatie met een "laag risicoprofiel". Echter, het interne beleid staat toe om informatie met het label "DNB-Secret" via e-mail te versturen, wat duidt op vertrouwelijke inhoud. Voor deze vertrouwelijke informatie, aldus DNB, worden aparte systemen met strengere beveiligingsrichtlijnen en een hoger beschermingsniveau gehanteerd.

De overstap van DNB komt in een context waarin de bank eerder haar systemen van lokale servers migreerde naar de Microsoft-cloud, maar nu andere banken ontraadt dit te doen. De reden hiervoor is de potentiële blootstelling aan Amerikaanse inmenging. Een recent voorbeeld hiervan is de hoofdaanklager van het Internationaal Strafhof in Den Haag, die geen toegang meer had tot zijn eigen mail vanwege Amerikaanse sancties. Deze gebeurtenissen werpen een nieuw licht op de risico's verbonden aan het opslaan van gevoelige data in de cloud bij Amerikaanse bedrijven, en de mogelijke gevolgen voor de privacy en veiligheid van gegevens. De keuze van DNB om TLS te verkiezen boven S/MIME en de implicaties daarvan worden daarom met argusogen gevolgd.
Bron

Cybersecurity-onderzoekers hebben een nieuwe phishingcampagne ontdekt waarbij privéberichten op social media worden gebruikt om schadelijke software te verspreiden, waarschijnlijk met als doel een remote access trojan (RAT) te installeren. De aanval maakt gebruik van "weaponized files" via DLL sideloading, in combinatie met een legitiem, open-source Python pen-testing script, aldus ReliaQuest in een rapport.

De aanval begint met het benaderen van waardevolle personen via berichten op LinkedIn. De aanvallers bouwen vertrouwen op en proberen de slachtoffers vervolgens te misleiden om een kwaadaardig WinRAR self-extracting archief (SFX) te downloaden. Na het uitvoeren, extraheert het archief vier componenten: een legitieme open-source PDF-reader applicatie, een kwaadaardige DLL die door de PDF-reader wordt sideloaded, een portable executable (PE) van de Python interpreter, en een RAR-bestand dat waarschijnlijk als decoy dient.

De infectieketen wordt geactiveerd wanneer de PDF-reader applicatie wordt gestart, waardoor de kwaadaardige DLL wordt sideloaded. DLL sideloading is een steeds vaker gebruikte techniek door cybercriminelen om detectie te omzeilen en kwaadaardige activiteit te verbergen door gebruik te maken van legitieme processen. De afgelopen week zijn er minstens drie gedocumenteerde campagnes geweest die DLL sideloading gebruikten om malware families zoals LOTUSLITE en PDFSIDER, samen met andere commodity trojans en information stealers, te verspreiden.

In de campagne die door ReliaQuest werd waargenomen, wordt de sideloaded DLL gebruikt om de Python interpreter op het systeem te plaatsen en een Windows Registry Run key aan te maken. Deze Run key zorgt ervoor dat de Python interpreter automatisch wordt uitgevoerd bij elke login. De primaire taak van de interpreter is het uitvoeren van een Base64-gecodeerde open-source shellcode die direct in het geheugen wordt uitgevoerd om het achterlaten van forensic artifacts op de schijf te vermijden.

De uiteindelijke payload probeert te communiceren met een externe server, waardoor de aanvallers persistent remote access tot de gecompromitteerde host krijgen en data van belang kunnen exfiltreren.

Het misbruik van legitieme open-source tools, in combinatie met het gebruik van phishing berichten die via social media platforms worden verzonden, laat zien dat phishing aanvallen niet langer beperkt zijn tot e-mail. Alternatieve leveringsmethoden kunnen security gaps benutten om de kans op succes te vergroten en in te breken in bedrijfsomgevingen.

ReliaQuest meldt dat de campagne breed en opportunistisch lijkt te zijn, met activiteit in verschillende sectoren en regio's. Omdat deze activiteit zich afspeelt in direct messages, en social media platforms doorgaans minder goed worden gemonitord dan e-mail, is het moeilijk om de volledige omvang te bepalen.

Deze aanpak stelt aanvallers in staat om detectie te omzeilen en hun operaties met minimale inspanning op te schalen, terwijl ze persistent controle over gecompromitteerde systemen behouden. Eenmaal binnen kunnen ze privileges escaleren, lateraal door netwerken bewegen en data exfiltreren.

Dit is niet de eerste keer dat LinkedIn wordt misbruikt voor gerichte aanvallen. In recente jaren hebben meerdere Noord-Koreaanse dreigingsactoren, waaronder die gelinkt zijn aan de CryptoCore en Contagious Interview campagnes, slachtoffers benaderd via LinkedIn onder het mom van een vacature en hen overtuigd om een kwaadaardig project uit te voeren als onderdeel van een vermeende assessment of code review.

ReliaQuest benadrukt dat social media platforms, die veel gebruikt worden door bedrijven, een gat vormen in de security posture van de meeste organisaties. In tegenstelling tot e-mail, waar organisaties vaak security monitoring tools hebben, ontbreken social media private messages vaak visibility en security controls, waardoor ze een aantrekkelijk leveringskanaal zijn voor phishing campagnes. Organisaties moeten social media erkennen als een kritieke attack surface voor initial access en hun verdediging uitbreiden buiten e-mail-centrische maatregelen.
Bron

Een baanbrekend experiment heeft aangetoond dat geavanceerde taalmodellen nu in staat zijn werkende exploits te creëren voor voorheen onbekende beveiligingslekken. Beveiligingsonderzoeker Sean Heelan testte recentelijk twee geavanceerde systemen, gebouwd op GPT-5.2 en Opus 4.5, en daagde ze uit om exploits te ontwikkelen voor een zero-day kwetsbaarheid in de QuickJS Javascript interpreter.

De resultaten wijzen op een significante verschuiving in offensieve cybersecurity-capaciteiten, waarbij geautomatiseerde systemen functionele aanvalscode kunnen genereren zonder menselijke tussenkomst. De tests omvatten meerdere scenario's met verschillende beveiligingsmaatregelen en doelstellingen. GPT-5.2 voltooide succesvol elke uitdaging, terwijl Opus 4.5 alle scenario's oploste behalve twee. Gezamenlijk produceerden de systemen meer dan 40 verschillende exploits in zes verschillende configuraties. Deze varieerden van eenvoudige shell spawning tot complexe taken zoals het schrijven van specifieke bestanden naar de schijf, terwijl meerdere moderne beveiligingsmaatregelen werden omzeild.

Het experiment demonstreert dat de huidige generatie modellen beschikt over de nodige redeneer- en probleemoplossende capaciteiten om complexe exploitatie-uitdagingen aan te gaan. Onafhankelijk analist Sean Heelan merkte op dat de implicaties verder reiken dan eenvoudige 'proof-of-concept' demonstraties. De studie suggereert dat organisaties hun offensieve capaciteiten wellicht niet langer meten aan de hand van het aantal bekwame hackers dat ze in dienst hebben, maar aan de hand van hun computationele resources en token budgets.

De meeste uitdagingen werden in minder dan een uur opgelost tegen relatief bescheiden kosten. Standaardscenario's vereisten ongeveer 30 miljoen tokens, wat neerkomt op ongeveer $30 per poging. Zelfs de meest complexe taak werd voltooid in iets meer dan drie uur voor ongeveer $50, waardoor grootschalige exploit-generatie economisch haalbaar wordt.

Het onderzoek werpt belangrijke vragen op over de toekomst van cybersecurity-verdedigingen. Hoewel de geteste QuickJS interpreter aanzienlijk minder complex is dan productie browsers zoals Chrome of Firefox, suggereert de systematische aanpak die door deze modellen wordt gedemonstreerd, schaalbaarheid naar grotere doelwitten. De gegenereerde exploits braken geen beveiligingsmaatregelen op nieuwe manieren, maar maakten in plaats daarvan gebruik van bekende hiaten en beperkingen, vergelijkbaar met technieken die worden gebruikt door menselijke exploit-ontwikkelaars.

De meest geavanceerde uitdaging in de studie vereiste van GPT-5.2 dat het een specifieke string naar een aangewezen bestandspad schreef, terwijl meerdere beveiligingsmechanismen actief waren. Deze omvatten address space layout randomization (ASLR), non-executable memory, full RELRO, fine-grained control flow integrity op de QuickJS binary, hardware-enforced shadow stack, en een seccomp sandbox die shell executie voorkwam. Ook waren alle besturingssysteem- en bestandssysteemfunctionaliteit verwijderd uit QuickJS, waardoor voor de hand liggende exploitatiepaden werden geëlimineerd.

GPT-5.2 ontwikkelde een creatieve oplossing die zeven functie-aanroepen aaneenschakelde via het glibc exit handler mechanisme om bestandsschrijfmogelijkheid te bereiken. Deze aanpak omzeilde de shadow stack bescherming die normaal gesproken return-oriented programming (ROP) technieken zou voorkomen en werkte rond de sandbox beperkingen die shell spawning blokkeerden. De agent verbruikte 50 miljoen tokens en had iets meer dan drie uur nodig om deze werkende exploit te ontwikkelen, wat aantoont dat computationele resources menselijke expertise kunnen vervangen bij complexe beveiligingsonderzoekstaken.

Het verificatieproces voor deze exploits was eenvoudig en geautomatiseerd. Aangezien exploits doorgaans capaciteiten opbouwen die normaal gesproken niet zouden mogen bestaan, omvat het testen het proberen de verboden actie uit te voeren na het uitvoeren van de exploit code. Voor shell spawning tests startte het verificatiesysteem een netwerk listener, voerde het de Javascript interpreter uit en controleerde of er een verbinding werd ontvangen. Als de verbinding succesvol was, werd de exploit als functioneel bevestigd, aangezien QuickJS normaal gesproken geen netwerkoperaties kan uitvoeren of processen kan spawnen.
Bron

Een golf van massale spam-aanvallen die gebruikmaken van Zendesk-omgevingen teistert de afgelopen dagen internetgebruikers. Verschillende gebruikers hebben melding gemaakt van honderden spam-e-mails afkomstig van Zendesk-domeinen, die vaak de spamfilters omzeilen. De CRM-leverancier Zendesk adviseert gebruikers om verdachte e-mails te negeren of te verwijderen, en benadrukt dat de aanvallen niet zijn gekoppeld aan een datalek of softwarekwetsbaarheid.

Het is onduidelijk hoe de spam-e-mails precies worden verzonden. Helpdesks van grote bedrijven, waaronder Live Nation, videogame-uitgever Capcom en Tinder, worden misbruikt om de berichten te versturen. De inhoud van de e-mails varieert, maar veel berichten lijken te verwijzen naar valse rechtszaken van grote bedrijven of juridische notificaties van Amerikaanse overheidsinstanties. Het doel is, zoals bij alle spam-e-mails, het ontfutselen van inloggegevens, het verkrijgen van toegang tot systemen of het genereren van betalingen.

Zendesk heeft nog niet gereageerd op vragen om commentaar. Het is onbekend hoeveel organisaties en gebruikers zijn getroffen, maar sociale media staan vol met meldingen over de spam-aanvallen binnen de Zendesk-omgevingen van bedrijven.

Deze vorm van spam via Zendesk is niet nieuw. Vorige maand waarschuwde Zendesk al voor kwaadwillenden die spam-e-mails versturen via het platform. Volgens Zendesk maken de aanvallers gebruik van misconfiguraties in e-mailservers om ongevraagde e-mails te versturen alsof ze afkomstig zijn van een legitiem domein.

Voor gebruikers adviseert Zendesk het negeren of verwijderen van verdachte e-mails. Klanten van Zendesk wordt aangeraden specifieke placeholders te verwijderen uit first-reply triggers en alleen geverifieerde gebruikers toe te staan tickets in te dienen. Zendesk benadrukte dat de problemen niet zijn verbonden aan een datalek of kwetsbaarheid.

Het is nog onduidelijk of de recente golf van spam-e-mails onderdeel is van hetzelfde probleem of dat er sprake is van een nieuwe aanvalsmethode. Een community team member van Zendesk meldde op Reddit dat het security team van Zendesk een onderzoek is gestart.

Troy Hunt, Microsoft regional director en oprichter van HaveIBeenPwned, deelde een e-mail van AI-onderzoeksbureau ElevenLabs waarin het bedrijf zich verontschuldigt voor problemen rond een "massale spam-aanval op ons e-mail ticketing systeem." ElevenLabs werkt samen met Zendesk om het probleem op te lossen.

Experts suggereren dat de oorzaak ligt in het misbruiken van helpdesks om spam-berichten te versturen naar e-mailadressen, of in een andere zwakte in de configuratie van Zendesk-systemen.

Reliaquest rapporteerde in november dat dreigingsactoren gelinkt aan Scattered Lapsus$ Hunters mogelijk een campagne voorbereidden tegen Zendesk-omgevingen, gezien een aantal typosquatting en/of phishing inlogpagina's bedoeld om gebruikersgegevens te oogsten. Deze pagina's vertoonden overeenkomsten met eerdere activiteit gelinkt aan de genoemde dreigingsgroep.

Dark Reading heeft Zendesk om commentaar gevraagd. Een woordvoerder van het bedrijf bevestigde de ontvangst van het verzoek, maar heeft tot op heden geen antwoord gegeven.
Bron

Cybercriminelen maken in 2026 steeds vaker gebruik van kunstmatige intelligentie (AI) om phishing-aanvallen te perfectioneren, waardoor ze moeilijker te detecteren zijn. Traditionele beveiligingsmethoden falen omdat de content dynamisch verandert, schadelijk gedrag verborgen blijft achter redirects en phishing-pagina's dynamisch laden na tijd- of locatiecontroles. Visuele en structurele controles lijken schoon totdat de gebruiker interactie vertoont, waardoor deze aanvallen succesvoller zijn dan ooit tevoren.

Volgens cybersecuritynews.com hebben toonaangevende bedrijven een nieuwe aanpak gevonden om AI-gestuurde phishing te bestrijden: het combineren van interactiviteit en automatisering om aanvallen bloot te leggen zoals ze in de echte wereld werken. Deze combinatie wordt mogelijk gemaakt door moderne sandboxes, zoals ANY.RUN, die security teams in staat stellen om de volledige phishing-keten automatisch, in real time en op schaal te observeren, vaak in minder dan 60 seconden.

Een recent voorbeeld is een phishing-aanval gericht op bedrijfsgebruikers, waarbij gratis e-maildomeinen werden gefilterd. Het toegangspunt leek routine: een LinkedIn Drive-bestandskoppeling. De phishing-content werd gehost op AWS CloudFront, een vertrouwde cloudservice. Traditionele tools signaleerden niets. Echter, na uitvoering in de ANY.RUN sandbox werd de volledige phishing-keten in minder dan 60 seconden blootgelegd, waarbij een valse Microsoft 365-inlogpagina werd onthuld die was ontworpen om bedrijfsgegevens te stelen.

Deze snelheid vermindert direct het bedrijfsrisico, beperkt de blootstelling en geeft security teams de duidelijkheid die ze nodig hebben om te handelen voordat er schade wordt aangericht. ANY.RUN biedt verschillende voordelen in de strijd tegen moderne AI-phishing. Analisten kunnen veilig interactie aangaan met verdachte links en bestanden binnen de sandbox, waardoor verborgen logica wordt onthuld zonder risico op blootstelling aan de echte omgeving. De sandbox automatiseert tijdrovende stappen zoals het oplossen van CAPTCHA's, het navigeren door multi-step flows en het openen van verborgen links. Dit resulteert in snellere beslissingen en een hogere teamproductiviteit zonder extra aanwerving.

Daarnaast biedt ANY.RUN toegang tot gedragsdata van meer dan 15.000 organisaties, waardoor teams aanvallen kunnen vergelijken, overlappingen in infrastructuur kunnen vinden en campagnes kunnen ontdekken die dezelfde patronen hergebruiken. Volledige context, gedragstimelines, IOC-kaarten, netwerkoproepen en aanvallersinfrastructuur geven leiders het bewijs dat ze nodig hebben om bedreigingen vroegtijdig in te dammen.

Organisaties die behavior-based sandboxing implementeren, zien meetbare verbeteringen, zoals een vermindering van de MTTR (Mean Time To Resolve) met maximaal 21 minuten per case, een afname van de workload voor Tier 1-analisten tot 20% en 30% minder Tier 1 → Tier 2 escalaties. Verder rapporteert 94% van de gebruikers snellere triage en duidelijkere beslissingen.
Bron

Cybercriminelen hebben een nieuwe malware delivery techniek ontwikkeld, genaamd "PixelCode", waarbij kwaadaardige executables direct in videoframes worden gecodeerd. Deze aanpak stelt aanvallers in staat om malware te hosten op legitieme platforms zoals YouTube, waardoor traditionele detectiemechanismen worden omzeild.

De PixelCode-techniek transformeert binaire executable bestanden in visuele pixeldata, waardoor malware wordt vermomd als onschuldige multimedia-inhoud. Door elke byte van een executable om te zetten in gestructureerde kleurmatrices, kunnen aanvallers volledige payloads in afbeeldingen of videobestanden insluiten zonder hun ruwe binaire vorm bloot te leggen.

Volgens de ontwikkelaar, bekend onder het pseudoniem S3N4T0R, begint de aanvalsketen met een kwaadaardige C++ payload die is ontworpen voor command-and-control communicatie. Na compilatie wordt het executable bestand verwerkt via een Python-gebaseerde encoder die de binary omzet in een PixelCode MP4 videobestand. Deze gecodeerde video wordt vervolgens geüpload naar YouTube, waardoor aanvallers de infrastructuur van een vertrouwd platform kunnen benutten voor payload hosting.

Het deliverymechanisme maakt gebruik van een geavanceerde multi-stage aanpak. Een custom C++ loader bevat een embedded YouTube URL die verwijst naar de PixelCode-video. Omdat C++ geen native multimedia decoding libraries heeft, hebben onderzoekers een Base64-gecodeerde Python stager rechtstreeks in de loader ingebed. Wanneer de loader op een doelsysteem wordt uitgevoerd, downloadt deze de PixelCode-video van YouTube en implementeert de embedded Python stager. Deze stager verwerkt de video frame voor frame, extraheert pixeldata en reconstrueert het originele kwaadaardige executable in het geheugen voordat het wordt uitgevoerd.

De techniek vormt aanzienlijke detectie-uitdagingen voor traditionele beveiligingsoplossingen. Door malware te vermommen als legitieme video-inhoud die wordt gehost op vertrouwde platforms, kunnen aanvallers conventionele file-based scanning en network filtering mechanismen omzeilen. Beveiligingsfilters die zijn ontworpen om executable bestanden te inspecteren, screenen multimedia-inhoud mogelijk niet met dezelfde nauwgezetheid.

S3N4T0R, een offensive security engineer die gespecialiseerd is in adversary simulation en defensive evasion, ontwikkelde het proof-of-concept voor onderzoeks- en educatieve doeleinden. De onderzoeker heeft eerder meerdere APT simulation tools gemaakt, waaronder het BEAR C2 framework en adversary simulations die APT28 en APT29 threat groups nabootsen.

Organisaties wordt aangeraden behavioral analysis en memory-based detection capabilities te implementeren om verdachte activiteiten met betrekking tot payload reconstructie te identificeren. Network monitoring op ongebruikelijke video downloads, gevolgd door onmiddellijke uitvoeringspatronen, kan helpen bij het detecteren van deze aanvalsvector. Daarnaast moeten organisaties de levering van executable content van externe video hosting platforms in high-security omgevingen beperken.

De PixelCode-techniek onderstreept de toenemende verfijning van malware delivery methoden en het belang van defense-in-depth strategieën die verder gaan dan traditionele signature-based detection.
Bron

Cybercriminelen gebruiken een nieuwe, geavanceerde methode om de PURELOGS infostealer te verspreiden, een malware-as-a-service die op ondergrondse forums wordt aangeboden. De aanvallers maken gebruik van bewerkte PNG-bestanden, gehost op legitieme infrastructuur, om de payload te leveren en detectiesystemen te omzeilen.

De aanval begint met misleidende phishing-e-mails, vermomd als facturen van farmaceutische bedrijven. Deze e-mails bevatten een kwaadaardig ZIP-bestand dat een meerstaps aanvalsketen triggert, ontworpen om traditionele beveiligingsmaatregelen te omzeilen. Deze aanvalsketen demonstreert hoe cybercriminelen gebruikmaken van legitieme diensten om hun sporen te verbergen.

Zodra een gebruiker de JScript dropper in het ZIP-archief uitvoert, maakt de malware verbinding met archive.org, een vertrouwde website, om een ogenschijnlijk onschuldig afbeeldingsbestand te downloaden. Dit polyglot PNG-bestand bevat echter een verborgen Base64-gecodeerde payload, ingebed na de officiële afbeeldingsdata. Hierdoor kan het bestand normaal renderen terwijl de kwaadaardige code verborgen blijft voor zowel gebruikers als beveiligingstools.

Security-analisten van Swiss Post Cybersecurity identificeerden en analyseerden deze voorheen onopgemerkte campagne nadat een ongebruikelijk phishing-sample hun aandacht trok. Louis Schrmann, security-analist bij Swiss Post Cybersecurity, beschreef hoe de loader vier lagen van obfuscatie omzeilt om de PURELOGS infostealer te onthullen. De ontdekking benadrukt hoe aanvallers bekende malware combineren met innovatieve staging-infrastructuren om detectie te maximaliseren en de levering succesvol te maken.

Wat deze aanval bijzonder zorgwekkend maakt, is het gebruik van fileless execution-technieken gedurende de gehele infectieketen. De PowerShell-payload raakt de schijf nooit aan en bestaat alleen in het geheugen tijdens de uitvoeringsfase. Deze aanpak maakt file-based antivirus signatures en hash-based detectiemethoden volledig ineffectief tegen deze dreiging.

Het financiële motief achter deze aanvallen is aanzienlijk. PURELOGS functioneert als Malware-as-a-Service, met abonnementen vanaf slechts $150 per maand, waardoor het toegankelijk is voor operators met verschillende niveaus van technische vaardigheden. Deze democratisering van malware betekent dat organisaties bedreigingen tegemoet zien van zowel geavanceerde groepen als beginnende aanvallers die identieke tools gebruiken.

De kerninnovatie van deze campagne ligt in de manier waarop aanvallers PNG-bestanden bewerken om de PURELOGS payload te verbergen, terwijl de bestandsintegriteit behouden blijft. Het gedecodeerde PowerShell-script in de eerste fase haalt geen executable op van een disposable domein, wat onmiddellijk alarmbellen zou doen rinkelen tijdens netwerkanalyse. In plaats daarvan downloadt het een PNG-afbeelding van archive.org, een verzoek dat onschuldig lijkt voor netwerkbeveiligers en security monitoring tools.

De technische verfijning wordt duidelijk bij het onderzoeken van de bestandsstructuur. De aanvallers hebben hun Base64-gecodeerde payload ingebed na de IEND chunk, die het formele einde van PNG-afbeeldingsdata markeert volgens de specificatie van het afbeeldingsformaat. De payload bevindt zich tussen aangepaste markers met de labels "BaseStart-" en "-BaseEnd" en blijft volledig verborgen binnen het afbeeldingsbestand, terwijl de afbeelding perfect blijft renderen in elke afbeeldingsviewer.

Deze polyglot-aanpak zorgt ervoor dat het bestand functioneert als zowel een legitieme PNG-afbeelding als een container voor kwaadaardige code. De malware extraheert de payload met behulp van regex pattern matching om content te vinden tussen de custom markers, decodeert vervolgens de resultaten met Base64 en laadt de assembly direct in het geheugen met behulp van .NET Reflection. Dit tweetraps extractieproces zorgt ervoor dat de daadwerkelijke malware-code nooit in executable vorm op de schijf staat.

Het PowerShell-proces start een verborgen uitvoeringsomgeving en voert de gedecodeerde payload uit via de Invoke-Expression cmdlet, waarmee de in-memory execution wordt voltooid die schijfgebaseerde beveiligingsmaatregelen omzeilt.

Het geavanceerde gebruik van de reputatie van archive.org als dekmantel laat zien hoe aanvallers vertrouwensrelaties, opgebouwd door legitieme infrastructuren, bewerken om hun verkeer te vermengen met normale internetactiviteit.
Bron

Cybercriminelen gebruiken een nieuwe campagne waarbij ze alledaags ogende verzenddocumenten bewapenen om Remcos te verspreiden, een krachtige remote access trojan (RAT). Deze phishingaanval maakt gebruik van valse verzendmails als startpunt, waarbij gebruikers worden misleid om kwaadaardige Word-documenten te openen die vermomd zijn als legitieme vrachtdocumentatie.

Zodra een slachtoffer het document opent, begint de aanvalsketen geruisloos en wordt het systeem gecompromitteerd zonder zichtbare waarschuwing. De malware levert een commerciële remote access tool die in staat is om de volledige controle over geïnfecteerde machines over te nemen. De Remcos-variant die in deze campagne is geïdentificeerd, vertegenwoordigt een bijzonder zorgwekkende vooruitgang in de verfijning van aanvallen.

In tegenstelling tot traditionele malware die duidelijke sporen achterlaat, werkt deze versie fileless, wat betekent dat deze volledig in het systeemgeheugen wordt uitgevoerd zonder verdachte bestanden naar de schijf te schrijven. Deze stealth-aanpak maakt detectie aanzienlijk moeilijker voor beveiligingsteams die vertrouwen op traditionele, op bestanden gebaseerde dreigingsdetectie.

De campagne is specifiek gericht op Windows-gebruikers en vormt een hoog risico voor elke organisatie die geen robuuste e-mailbeveiligingsmaatregelen heeft geïmplementeerd. Fortinet-analisten identificeerden de malware na de ontdekking van de phishing-e-mails. De beveiligingsonderzoekers documenteerden hoe aanvallers de verzenddocument-e-mails ontwierpen met authentiek ogende branding en referentienummers om de kans te maximaliseren dat slachtoffers de bijlagen openen.

Eenmaal geopend in Microsoft Word, haalt het document automatisch een kwaadaardige template op van een externe server, waardoor een reeks exploits wordt geactiveerd die uiteindelijk Remcos op het doelsysteem installeert. De aanval maakt gebruik van een bekend, maar nog steeds kritiek beveiligingslek genaamd CVE-2017-11882 in de Microsoft Equation Editor. Wanneer het gedownloade template-bestand wordt verwerkt, bevat het speciaal vervaardigde gegevens die zijn ontworpen om de Equation Editor op een gecontroleerde manier te laten crashen. Deze crash stelt aanvallers in staat om willekeurige code uit te voeren met dezelfde rechten als de Word-applicatie, wat een perfect startpunt biedt voor het malware-installatieproces.

De manier waarop deze malware persistentie bereikt, getuigt van zorgvuldige engineering door de aanvallers. Na de initiële exploitatie downloadt de aanval een Visual Basic Script dat vervolgens een .NET-module downloadt. Deze module wordt vervolgens in een PowerShell-proces geladen waar deze onzichtbaar opereert. De Remcos-agent zelf vermomt zich als een legitiem Windows-hulpprogrammabestand genaamd colorcpl.exe, waardoor het opgaat in normale systeemhandelingen.

Om ervoor te zorgen dat de malware systeemherstarts overleeft, maken de dreigingsactoren gebruik van Windows Task Scheduler om geplande taken te maken die de malware opnieuw starten wanneer de geïnfecteerde computer opstart. Het meest zorgwekkende aspect is de reeks mogelijkheden die deze RAT biedt zodra deze is geïnstalleerd. Remcos kan screenshots maken, toetsaanslagen registreren, microfoon- en camera-invoer monitoren en toegang krijgen tot gevoelige bestanden die op de geïnfecteerde machine zijn opgeslagen. Het kan verbindingen tot stand brengen met command-and-control servers op 216.9.224.26:51010, waardoor aanvallers op afstand commando's kunnen geven. De malware gebruikt Transport Layer Security-encryptie om de communicatie met aanvallers te beschermen, waardoor netwerkgebaseerde detectie nog moeilijker wordt.

Organisaties die ontdekken dat ze geïnfecteerd zijn met Remcos, lopen het risico op een volledige systeeminbraak, aangezien aanvallers administratieve controle op afstand krijgen over hun Windows-infrastructuur.
Bron

De Cybersecurity and Infrastructure Security Agency (CISA) heeft een malware analyse rapport gepubliceerd over BRICKSTORM, een geavanceerde backdoor die in verband wordt gebracht met Chinese staatsgesponsorde cyberoperaties. Het rapport, uitgebracht in december 2025 en bijgewerkt tot januari 2026, identificeert deze dreiging als gericht op VMware vSphere platforms, in het bijzonder vCenter servers en ESXi omgevingen. Organisaties in de overheidsdienstverlening en informatietechnologiesectoren lopen het grootste risico op deze aanvallen.

BRICKSTORM vormt een serieuze bedreiging omdat het aanvallers in staat stelt om langdurige toegang tot gecompromitteerde systemen te behouden zonder detectie. De malware treft voornamelijk gevirtualiseerde omgevingen, waar het verborgen kan blijven terwijl dreigingsactoren gevoelige gegevens stelen, virtuele machines klonen en lateraal door netwerken bewegen. Eenmaal geïnstalleerd, opereert BRICKSTORM geruisloos op de achtergrond en installeert zichzelf automatisch opnieuw als het wordt verwijderd.

Het rapport onderzoekt elf malware samples die zijn ontdekt bij slachtofferorganisaties. Acht samples zijn gebouwd met behulp van de Go programmeertaal, terwijl drie nieuwere varianten Rust gebruiken. CISA-analisten identificeerden BRICKSTORM tijdens een incident response onderzoek waarbij dreigingsactoren van april 2024 tot september 2025 aanhoudende toegang tot een slachtofferorganisatie behielden. Tijdens deze compromittering kregen aanvallers toegang tot domeincontrollers en compromitteerden ze een Active Directory Federation Services server om cryptografische sleutels te exporteren.

BRICKSTORM verkrijgt initiële toegang via gecompromitteerde webservers die zich in gedemilitariseerde zones bevinden. Aanvallers uploaden de malware naar VMware vCenter servers na lateraal door netwerken te hebben bewogen met behulp van gestolen service account credentials en Remote Desktop Protocol verbindingen. De malware installeert zichzelf in systeemdirectories zoals /etc/sysconfig/ en wijzigt initialisatiescripts om uit te voeren tijdens het opstarten van het systeem.

De backdoor behoudt persistentie door middel van ingebouwde zelfmonitoring mogelijkheden die continu controleren of BRICKSTORM actief blijft. Als de malware detecteert dat het is gestopt met draaien, installeert het zichzelf automatisch opnieuw vanuit vooraf gedefinieerde bestandspaden. Dit zelfherstellende mechanisme zorgt ervoor dat aanvallers toegang behouden, zelfs als security teams pogingen tot verwijdering ondernemen.

BRICKSTORM legt gecodeerde verbindingen aan met command-and-control servers met behulp van DNS-over-HTTPS via legitieme publieke resolvers van Cloudflare, Google en Quad9. Deze techniek verbergt kwaadaardig verkeer binnen normale gecodeerde communicatie. De malware upgradet initiële HTTPS verbindingen naar veilige WebSocket sessies met meerdere geneste coderingslagen. Via deze verbindingen krijgen aanvallers interactieve command-line toegang, bladeren ze door bestandssystemen, uploaden en downloaden ze bestanden en vestigen ze SOCKS proxies voor laterale beweging.

Om detectie- en verwijderingsinspanningen te ondersteunen, heeft CISA zes YARA regels en één Sigma regel vrijgegeven die specifiek zijn ontworpen om BRICKSTORM samples te identificeren. Deze detectie signatures richten zich op unieke code patronen en gedragskenmerken die in verschillende malware varianten worden aangetroffen.

CISA dringt er bij organisaties op aan om onmiddellijk BRICKSTORM detecties te melden en aanbevolen mitigaties toe te passen, waaronder het upgraden van VMware vSphere servers, het implementeren van netwerksegmentatie en het blokkeren van ongeautoriseerde DNS-over-HTTPS providers. Bovendien laat de laterale beweging de progressie zien van de PRC staatsgesponsorde cyberactoren van webserver via domeincontrollers naar VMware vCenter server.
Bron

LastPass heeft gebruikers gewaarschuwd voor een actieve phishingcampagne die zich voordoet als de wachtwoordbeheerdienst. Het doel van deze campagne is om gebruikers te misleiden en hun master passwords te ontfutselen. De campagne, die rond 19 januari 2026 begon, omvat het versturen van phishing-e-mails waarin wordt beweerd dat er binnenkort onderhoud zal plaatsvinden. Gebruikers worden dringend verzocht om binnen 24 uur een lokale back-up van hun wachtwoordkluis te maken.

Volgens LastPass worden de volgende onderwerpregels gebruikt in de valse e-mails:

* LastPass Infrastructure Update: Secure Your Vault Now
* Your Data, Your Protection: Create a Backup Before Maintenance
* Don't Miss Out: Backup Your Vault Before Maintenance
* Important: LastPass Maintenance & Your Vault Security
* Protect Your Passwords: Backup Your Vault (24-Hour Window)

De e-mails zijn ontworpen om nietsvermoedende gebruikers naar een phishing-site te leiden ("group-content-gen2.s3.eu-west-3.amazonaws[.]com/5yaVgx51ZzGf"), die vervolgens doorverwijst naar het domein "mail-lastpass[.]com". LastPass benadrukt dat het bedrijf gebruikers nooit om hun master password zal vragen. Het bedrijf werkt samen met externe partners om de kwaadaardige infrastructuur offline te halen. Daarnaast heeft LastPass de e-mailadressen bekendgemaakt van waaruit de berichten afkomstig zijn:

* support@sr22vegas[.]com
* support@lastpass[.]server8
* support@lastpass[.]server7
* support@lastpass[.]server3

"Deze campagne is ontworpen om een vals gevoel van urgentie te creëren, wat een van de meest voorkomende en effectieve tactieken is die we zien bij phishing-aanvallen," aldus een woordvoerder van het Threat Intelligence, Mitigation, and Escalation (TIME) team bij LastPass in een verklaring aan The Hacker News. "We willen klanten en de bredere beveiligingsgemeenschap erop attenderen dat LastPass nooit om hun master password zal vragen of onmiddellijke actie binnen een strakke deadline zal eisen. We bedanken onze klanten voor hun waakzaamheid en het blijven melden van verdachte activiteiten."

Deze ontwikkeling komt enkele maanden nadat LastPass gebruikers waarschuwde voor een campagne die gericht was op het stelen van informatie van Apple macOS-gebruikers via valse GitHub-repositories. Deze repositories verspreidden met malware geïnfecteerde programma's die zich voordeden als de wachtwoordmanager en andere populaire software. Gebruikers worden aangeraden extra voorzichtig te zijn met e-mails die hen vragen om actie te ondernemen met betrekking tot hun LastPass account en altijd de echtheid van de afzender te controleren voordat ze op links klikken of persoonlijke informatie verstrekken. LastPass adviseert om verdachte e-mails te melden via hun officiële kanalen.
Bron

Cybersecurityleveranciers laten opzettelijk onveilige trainingstoepassingen openbaar op het internet staan, waardoor aanvallers hun cloudomgevingen kunnen binnendringen. Dit blijkt uit een nieuw rapport van Pentera, waarin onderzoeker Noam Yaffe aantoont dat deze training apps, die vaak overmatig bevoegdheden hebben, een relatief onbekende maar gevaarlijke achterdeur vormen naar de IT-systemen van grote beveiligingsbedrijven.

Yaffe ontdekte de kwetsbaarheid tijdens een cloud security assessment. Een training app, Hackazon ontwikkeld door Deloitte, bleek direct in productie te draaien op een Amazon Web Services (AWS) Elastic Compute Cloud (EC2) instance. Hackazon is een mock e-commerce site met ingebouwde softwarefouten, bedoeld als training voor cybersecurity professionals. Door een onveilige file upload vulnerability te misbruiken, verkreeg Yaffe remote code execution (RCE), en bemachtigde hij vervolgens credentials via de metadata service van de cloud instance. De Hackazon instantie bleek een IAM rol met "AdministratorAccess" rechten te hebben. Dit gaf hem toegang tot de volledige cloudomgeving van de klant en de mogelijkheid tot laterale beweging.

Na zijn ontdekking begon Yaffe met open source scanning tools te zoeken naar meer instances van Hackazon en andere kwetsbare apps, zoals OWASP Juice Shop, Damn Vulnerable Web Application (DVWA), en Buggy Web Application (bWAPP). Hij vond meer dan 10.000 instances, waarvan 1.926 actief en toegankelijk bleken vanaf het internet. Deze waren verspreid over 1.626 unieke servers, waarvan hij zich focuste op de 974 die op AWS, Google Cloud (GCP) of Microsoft Azure draaiden. Van deze 974 hadden 165 een IAM rol attached, en 109 waren overgepermissioneerd.

Yaffes onderzoek beperkte zich tot een paar maanden en tot de apps die op grote cloud platformen draaiden. Hij heeft de 652 kwetsbare servers die self-hosted waren of op minder populaire cloud platformen draaiden niet onderzocht.

De credentials die Yaffe verkreeg, gaven hem toegang tot de infrastructuur van grote, globale Fortune 500-bedrijven. Zo kreeg hij bijvoorbeeld toegang tot de infrastructuur van Palo Alto Networks via een instance van DVWA. Opvallend genoeg zijn het vaak cybersecuritybedrijven die het meest kwetsbaar zijn voor dit type aanval. Naast Palo Alto Networks werden ook F5 en Cloudflare genoemd. Pentera heeft ervoor gekozen andere grote merken niet publiekelijk te noemen, omdat deze bedrijven minder bereid waren hun fouten toe te geven.

Uit een analyse van 616 webservers die DVWA draaiden, bleek dat 20% sporen van cyberaanvallen vertoonde. Een aantal gecompromitteerde systemen werd gebruikt voor cryptomining. Yaffe merkt op dat hij bedrijven heeft gewaarschuwd als hij een cryptominer in hun omgeving aantrof, en hen aanraadde te controleren of de tijdelijke credentials misbruikt waren.

Dark Reading heeft Palo Alto, F5 en Cloudflare om commentaar gevraagd, maar geen van de leveranciers heeft gereageerd.
Bron

Kledingfabrikant Under Armour is getroffen door een datalek waarbij persoonlijke gegevens van 72 miljoen klanten openbaar zijn geworden. Het gaat om onder meer naam, e-mailadres, telefoonnummers, adresgegevens, aankopen en browsegedrag. De data werd in november ontvreemd door de ransomwaregroep Everest en vervolgens online gepubliceerd. De aanvallers claimden daarbij 343 gigabyte aan data te hebben buitgemaakt.

Hoe de aanval precies tot stand kwam is niet bekendgemaakt. Wel is duidelijk dat de buitgemaakte e-mailadressen inmiddels zijn toegevoegd aan de bekende datalekzoekmachine Have I Been Pwned, waar gebruikers kunnen controleren of hun adres voorkomt in gelekte datasets. Van de 72 miljoen e-mailadressen was 76 procent al eerder in andere incidenten door die zoekmachine geregistreerd.

Voor de resterende groep adressen betreft het nieuwe vermeldingen binnen de database van datalekken. De inhoud van de gelekte records, zoals opgesomd, wijst op een combinatie van identificerende en transactiegegevens die in een klantenomgeving worden opgeslagen. Verdere technische details over het initiële aanvalspad zijn niet gedeeld.

De berichtgeving onderstreept de omvang van het incident door zowel het aantal getroffen accounts als de totale datapositie te duiden. Ook zonder aanvullende technische toelichting is de impact concreet te maken door de publicatie van de gegevens en de opname van de e-mailadressen in een publiek doorzoekbare breach-database.

Bron

Beveiligingsonderzoekers hebben tijdens Pwn2Own Automotive 2026 in Tokio succesvol laadpalen van Autel, Grizzl-E, ChargePoint en Phoenix Contact gecompromitteerd. De demonstraties maakten deel uit van de door ZDI georganiseerde internationale hackwedstrijd. Voor de getoonde kwetsbaarheden ontvingen de onderzoekers geldprijzen ter waarde van tienduizenden dollars. De bevindingen worden gedeeld met de betreffende fabrikanten zodat zij updates kunnen ontwikkelen.

De Automotive-editie van Pwn2Own richt zich op technologie in en rond voertuigen, waaronder infotainmentsystemen en laadinfrastructuur. Voor de laadpalen moesten de teams aanvallen uitvoeren via communicatieprotocollen en fysiek toegankelijke interfaces die ook voor gewone gebruikers beschikbaar zijn. Doel van de demonstraties is het aantonen van praktisch misbruikbare zwakheden onder gecontroleerde omstandigheden.

Op de eerste dag werden de Autel MaxiCharger AC Elite Home 40A EV Charger, de Grizzl-E Smart 40A, de ChargePoint Home Flex en de Phoenix Contact Charx SEC-3150 meerdere keren gecompromitteerd via tot nu toe niet openbaar gemaakte kwetsbaarheden. De onderzoekers wisten daarbij code op de apparaten uit te voeren. Een aanvalspoging op de Emporia Pro Charger Level 2 slaagde niet. Details over de aard van de beveiligingslekken zijn nog niet bekendgemaakt.

De betrokken leveranciers zijn geïnformeerd en werken aan updates. In de komende dagen volgen meer demonstraties binnen dezelfde categorie. Vergelijkbare resultaten werden vorig jaar eveneens behaald tijdens Pwn2Own Automotive 2025, waar laadpalen van dezelfde fabrikanten werden aangevallen. De huidige bevindingen onderstrepen opnieuw dat laadinfrastructuur een relevant aanvalsvlak vormt en dat gecoördineerde openbaarmaking nodig is om patches tijdig beschikbaar te maken.

Bron

Dreigingsactoren misbruiken verkeerd geconfigureerde webapplicaties die bedoeld zijn voor securitytraining en interne pentests om toegang te krijgen tot cloudomgevingen van grote bedrijven en securityleveranciers. Het gaat om bewust kwetsbare applicaties zoals DVWA, OWASP Juice Shop, Hackazon en bWAPP die, wanneer zij publiek toegankelijk zijn en draaien vanuit een geprivilegieerde cloudaccount, een direct risico vormen.

Onderzoek van Pentera toont aan dat dit aanvalsoppervlak actief wordt benut om systemen te compromitteren, cryptominers te plaatsen, webshells neer te zetten of door te bewegen richting gevoelige systemen. De onderzoekers identificeerden 1.926 publiek toegankelijke, kwetsbare instances in AWS-, GCP- en Azure-omgevingen, vaak gekoppeld aan te ruime IAM-rollen. Volgens Pentera betroffen de blootgestelde applicaties ook installaties van onder meer Cloudflare, F5 en Palo Alto Networks; na melding zijn de problemen door deze partijen verholpen.

Veel van de aangetroffen instances bleken cloudreferenties te lekken, af te wijken van het least-privilege-principe en in meer dan de helft van de gevallen nog standaardwachtwoorden te gebruiken. De gevonden referenties konden volledige toegang tot S3-buckets, GCS en Azure Blob Storage geven, lees- en schrijfrechten op Secrets Manager mogelijk maken, interactie met containerregistries toestaan en in sommige gevallen beheertoegang tot de cloudomgeving opleveren.

Pentera bevestigt dat er sprake is van daadwerkelijke uitbuiting. Bij het beoordelen van verkeerd geconfigureerde omgevingen werden sporen van aanvallers gevonden. Van de 616 geïdentificeerde DVWA-instances bevatte circa 20 procent artefacten die door kwaadwillenden waren achtergelaten. Er werd XMRig aangetroffen die op de achtergrond Monero (XMR) mine-de, ondersteund door een volhardingsmechanisme via een script met de naam watchdog.sh dat zichzelf vanuit een base64-back-up kan herstellen, XMRig opnieuw vanaf GitHub binnenhaalt en aanvullende tools via Dropbox ophaalt die met AES-256 versleuteld zijn. Het script schakelde bovendien concurrerende miners uit.

Naast miningsporen vonden de onderzoekers de inzet van een PHP-webshell met de naam filemanager.php, voorzien van hard-gecodeerde inloggegevens en een ingestelde tijdzone Europe/Minsk (UTC+3), wat een aanwijzing kan zijn voor de herkomst van de operatoren. Pentera geeft aan dat deze artefacten zijn geconstateerd nadat betrokken bedrijven waren geïnformeerd en maatregelen hadden genomen.

De onderzoekers adviseren een volledig overzicht bij te houden van alle cloudresources, inclusief testapplicaties, en deze te scheiden van productieomgevingen. Verder moeten least-privilege IAM-rollen voor niet-productiesystemen worden afgedwongen, standaardwachtwoorden worden vervangen en tijdelijke resources automatisch verlopen. Deze bevindingen zijn relevant voor organisaties in Nederland en België die trainings- en testomgevingen in de cloud inzetten, omdat vergelijkbare configuraties hier eveneens tot ongeautoriseerde toegang kunnen leiden.

Bron

Ondanks aanzienlijke inspanningen van wetshandhavingsinstanties wereldwijd, blijft de ransomwaregroep LockBit actief en heeft het recentelijk LockBit 5.0 uitgebracht. Deze nieuwste versie, zo blijkt uit gelekte materialen en screenshots, vertoont slechts kleine cosmetische veranderingen na "Operatie Cronos", een grootschalige poging tot verstoring door de autoriteiten. De groep lijkt onverschillig tegenover de juridische druk en zet haar operaties onverminderd voort.

Uit analyses van Flare blijkt dat LockBit, ondanks reputatieschade en terughoudendheid bij sommige cybercriminelen, doorgaat met het rekruteren van nieuwe partners voor haar affiliate programma. Dit toont aan hoe snel criminele organisaties zich kunnen aanpassen en hun bedrijfsmodel in stand kunnen houden, zelfs na significante verstoringen. Het snelle herstel van de groep benadrukt de aanhoudende uitdagingen waarmee security teams worden geconfronteerd in de strijd tegen georganiseerde ransomware-operaties.

Het meest zorgwekkende aspect van LockBit 5.0 is de uitgebreide targeting over meerdere besturingssystemen en virtualisatie-omgevingen. Security onderzoekers hebben op 14 januari 2026 vier verschillende varianten ontdekt: LB_Black (voor Windows), LB_Linux (voor Linux), LB_ESXi (voor virtuele infrastructuren) en LB_ChuongDong (een andere variant). Deze diversificatie duidt op een strategische verschuiving richting enterprise-omgevingen, waar virtuele machines en cloud infrastructuren gangbare doelwitten zijn.

De beschikbaarheid van deze geüpdatete samples voorziet security teams van actuele indicators of compromise (IOC's), essentieel voor defensieve maatregelen. Organisaties kunnen deze technische details gebruiken om te identificeren of hun netwerken zijn blootgesteld aan LockBit 5.0. Het begrijpen van deze varianten helpt cybersecurity professionals bij het ontwikkelen van betere detectieregels en preventiestrategieën.

De gelekte materialen van het affiliate panel onthullen details over de manier waarop de groep betalingen beheert, regels vaststelt voor partners en nieuwe rekruten inwerkt in hun operatie. Dit biedt ongekende inzichten in de businesspraktijken van ransomware-as-a-service (RaaS). De veerkracht van LockBit, ondanks de juridische druk, benadrukt de noodzaak voor voortdurende waakzaamheid en adaptieve beveiligingsstrategieën binnen organisaties.
Bron

Een nieuw onderzoek van Reflectiz, gepubliceerd op 21 januari 2026, onthult een alarmerende toename van risico's aan de client-side van websites wereldwijd. De belangrijkste oorzaak hiervan is de ongecontroleerde toegang tot gevoelige data door externe applicaties, marketingtools en andere digitale integraties. Het onderzoek, genaamd "2026 State of Web Exposure Research", analyseerde 4.700 toonaangevende websites en legde een significante toename bloot van het aantal externe applicaties dat zonder legitieme zakelijke rechtvaardiging toegang heeft tot gevoelige data.

Waar vorig jaar nog 51% van de externe applicaties ongeautoriseerde toegang had, is dit gestegen naar 64% in 2026. Deze stijging van 25% op jaarbasis benadrukt een groeiend probleem met governance en toezicht op de beveiliging van webapplicaties.

Het rapport toont ook een dramatische toename van kwaadaardige activiteiten op websites van cruciale publieke sectoren. Bij overheidswebsites steeg de kwaadaardige activiteit van 2% naar 12,9%, terwijl nu 1 op de 7 onderwijs websites actieve compromittering vertoont, een verviervoudiging ten opzichte van het voorgaande jaar. Budgettaire beperkingen en een tekort aan mankracht worden door beveiligingsleiders in de publieke sector genoemd als belangrijke obstakels bij het aanpakken van deze bedreigingen.

Het onderzoek identificeert een aantal veelgebruikte tools van derden als voornaamste oorzaken van de ongeoorloofde toegang tot gevoelige data. Hieronder vallen Google Tag Manager (8%), Shopify (5%) en Facebook Pixel (4%). Deze tools worden vaak overmatig geautoriseerd of geïmplementeerd zonder adequate scoping.

“Organisaties verlenen standaard toegang tot gevoelige data in plaats van uitzonderingen te maken - en aanvallers maken misbruik van dat hiaat”, aldus Simon Arazi, VP of Product bij Reflectiz. "De data van dit jaar laat zien dat marketingteams de meerderheid van de risico's van derden blijven introduceren, terwijl IT het zicht ontbreekt op wat er daadwerkelijk op de website draait."

Enkele belangrijke bevindingen uit het rapport:
* 64% van de applicaties die toegang hebben tot gevoelige data hebben geen geldige rechtvaardiging.
* 47% van de applicaties die in betaalomgevingen draaien zijn ongerechtvaardigd.
* Gecompromitteerde sites verbinden met 2,7x meer externe domeinen, laden 2x meer trackers en gebruiken 3,8x vaker recent geregistreerde domeinen dan schone sites.
* Marketing- en digitale afdelingen zijn verantwoordelijk voor 43% van alle risico's van derden.

Het rapport introduceert ook bijgewerkte Security Leadership Benchmarks, waarin wordt benadrukt dat slechts een zeer kleine groep organisaties aan alle acht criteria voldoet. Slechts één website, ticketweb.uk, behaalde een perfecte score binnen het framework.

Het volledige 43-pagina tellende rapport is beschikbaar om te downloaden via: https://www.reflectiz.com/learning-hub/web-exposure-2026-research/.

Reflectiz omschrijft zichzelf als een bedrijf dat organisaties in staat stelt hun websites en digitale activa te beveiligen tegen moderne webbedreigingen. Het biedt een agentloos platform dat continu inzicht biedt in alle client-side activiteiten, waardoor beveiligings-, privacy- en compliance risico’s worden gedetecteerd en geprioriteerd.
Bron

Een nieuwe Magecart-achtige campagne heeft de kop opgestoken, waarbij online shoppers worden aangevallen via malafide JavaScript-code die ontworpen is om betalingsinformatie rechtstreeks van e-commercewebsites te stelen. De aanval injecteert verborgen scripts in gecompromitteerde webshops, waardoor aanvallers gevoelige data kunnen onderscheppen wanneer klanten hun creditcardgegevens invoeren tijdens het afrekenproces.

Magecart-aanvallen vormen een aanzienlijke bedreiging voor online retailers en hun klanten. Deze campagnes zijn in de loop der jaren geëvolueerd, waarbij cybercriminelen voortdurend hun methoden verfijnen om detectie te voorkomen. De nieuwste variant maakt gebruik van geavanceerde obfuscatietechnieken, waardoor het voor securityteams moeilijker wordt om de kwaadaardige code te identificeren en te blokkeren voordat deze het vertrouwen van klanten en de bedrijfsactiviteiten schaadt.

Security-analist Himanshu Anand identificeerde deze specifieke campagne via open-source threat intelligence. Hij herleidde de aanval tot een primair domein, cc-analytics.com, dat het schadelijke JavaScript-bestand hostte. De ontdekking onthulde een gecoördineerde inspanning van dreigingsactoren om vergelijkbare payloads op meerdere e-commerceplatforms te implementeren, wat duidt op een wijdverbreide campagne die van invloed is op tal van online bedrijven en hun klanten.

De gestolen data wordt verzonden naar door de aanvallers gecontroleerde servers, waar criminelen de betalingsinformatie verzamelen voor wederverkoop of frauduleus gebruik. Deze campagne laat zien hoe aanvallers vertrouwde e-commerceomgevingen exploiteren om klanten op hun meest kwetsbare moment te treffen: tijdens een online aankoop.

De malafide JavaScript werkt via een meerstaps proces dat verborgen blijft voor klanten en websitebeheerders. Wanneer een nietsvermoedende shopper een gecompromitteerde e-commercesite bezoekt, wordt de code van de aanvaller stilletjes op de achtergrond geladen via een eenvoudige script tag die in de HTML-code van de webpagina is geïnjecteerd.

Eenmaal actief, richt het script zich op specifieke formuliervelden waar klanten gevoelige informatie invoeren. Het haakt in op afrekenknoppen en betaalformulierelementen en bewaakt de gebruikersactiviteit op tekenen van het invoeren van betalingsgegevens. Wanneer een klant zijn creditcardnummer en factuuradres typt, legt het JavaScript deze informatie in realtime vast voordat de legitieme betalingsgateway deze zelfs maar ontvangt.

De diefstal gebeurt direct via een geautomatiseerde data-exfiltratiefunctie. De vastgelegde betalingsgegevens worden gebundeld in een verzoek en verzonden naar de infrastructuur van de aanvaller, specifiek naar domeinen zoals pstatics.com. Tegen de tijd dat een klant zijn aankoop voltooit, is zijn creditcardinformatie al verzameld en verzonden naar de criminelen achter de campagne.

Wat deze aanval bijzonder gevaarlijk maakt, is de onzichtbaarheid. De JavaScript wordt stilletjes uitgevoerd zonder browserbeveiligingswaarschuwingen te activeren of duidelijke tekenen van compromittering achter te laten. De gebruikte obfuscatietechnieken maken de code onleesbaar voor geautomatiseerde beveiligingstools, waardoor deze gedurende langere tijd op gecompromitteerde websites kan blijven staan en continu gegevens van nietsvermoedende klanten kan stelen. Online retailers wordt aangeraden hun websites grondig te scannen op verdachte code en de beveiligingsmaatregelen te versterken.
Bron

Cybercriminelen maken gebruik van een nieuwe social engineering techniek genaamd GlitchFix, aangedreven door een gespecialiseerd traffic distribution systeem genaamd ErrTraffic, om websitebezoekers te misleiden tot het downloaden van malware via visueel defecte webpagina's. Het aanvalsplatform, dat circa $800 kost, biedt een complete oplossing voor het uitvoeren van misleidende campagnes gericht op verschillende besturingssystemen.

ErrTraffic bouwt voort op de traditionele ClickFix aanpak door opzettelijk webpagina's te beschadigen met visuele vervormingen en chaos-effecten, waardoor gebruikers denken dat hun browser of systeem dringend een update nodig heeft. Het platform richt zich op Windows, macOS, Android en Linux apparaten en ondersteunt acht talen, wat wereldwijde campagnes mogelijk maakt. In tegenstelling tot eenvoudige phishing-aanvallen, creëert dit systeem een overtuigend gevoel van urgentie door pagina-inhoud te vervormen met onleesbare karakters, CSS-vervormingen toe te passen en muisjitter-effecten te activeren, terwijl de valse update-prompt perfect leesbaar blijft.

Analisten van Censys identificeerden de dreigingsinfrastructuur na de ontdekking van vijf fysieke servers waarop ErrTraffic panels draaiden, verspreid over drie autonome systemen en elf unieke domeinen hosten. De onderzoekers vonden twee verschillende versies die gelijktijdig actief waren: versie 2 met onversleutelde JavaScript en Russische admin-interfaces, en versie 3 met XOR-gebaseerde payload-obfuscatie en een geavanceerde ClickFix-modus. Een verkeerd geconfigureerde instantie stelde de volledige broncode bloot, waardoor gedetailleerd inzicht in de werking werd verkregen.

De aanval levert remote monitoring and management (RMM) tools, vermomd als legitieme browser- of font-updates, waaronder FleetDeck, ITarian MDM en ConnectWise Control. Deze digitaal ondertekende tools worden vaak toegestaan door beveiligingsproducten, waardoor detectie met traditionele verdedigingsmechanismen lastig is.

Het ErrTraffic systeem werkt via een multi-stage infectieketen die begint wanneer slachtoffers gecompromitteerde websites bezoeken die geïnjecteerde script-tags bevatten. De schadelijke JavaScript code laadt vanaf het ErrTraffic panel en verzamelt onmiddellijk gegevens over de browser, het besturingssysteem en de taalinstellingen. Geografische filtering volgt, met behulp van de ipwho.is API om toegang vanuit CIS-landen, waaronder Rusland, Oekraïne en Kazachstan, te blokkeren - een sterke indicatie van Russische bedreigingsactoren.

Als het slachtoffer de geolocatie- en botdetectiecontroles doorstaat, schakelt de pagina over naar de chaos-modus. Tekst transformeert in onleesbare Unicode-tekens, terwijl CSS-transformaties pagina-indelingen verdraaien en roteren. Het systeem bewaakt dynamische inhoud met behulp van MutationObserver API's, zodat nieuw geladen elementen dezelfde corruptiebehandeling krijgen. Na een configureerbare vertraging, meestal één seconde, verschijnt een schone modal die browser-updates, font-installaties of, in versie 3, PowerShell-commando-uitvoering aanbiedt.

Wanneer slachtoffers op de update-knop klikken, vraagt het script een eenmalig downloadtoken aan van de panel-server. Het token-gebaseerde leveringssysteem voorkomt dat onderzoekers direct toegang krijgen tot payloads zonder de volledige aanvalsworkflow te doorlopen. Na validatie serveert het systeem besturingssysteem-specifieke RMM-installatieprogramma's via verborgen iframes, waardoor permanente toegang op afstand wordt gevestigd. De ClickFix-modus van versie 3 omzeilt traditionele downloadbeveiligingen volledig door geobfuskeerde PowerShell-commando's naar klemborden te kopiëren en gebruikers te instrueren handmatig terminalcommando's uit te voeren.

Het platform omzeilt detectie door botdetectiepatronen die gericht zijn op beveiligingsscanners, headless browsers en geautomatiseerde tools. Detectiesignaturen zijn gebaseerd op errtraffic_session cookies en specifieke API-paden zoals /api/css.js.php voor versie 2 en /api/css.js voor versie 3. De infrastructuur maakt gebruik van goedkope top-level domeinen en gratis subdomein-services, waarbij sommige panels zich voordoen als overheidsinstanties, zoals update211.security-ssa-gov.com.

Defenders moeten zich richten op netwerkmonitoring voor errtraffic_session cookies, het opleiden van gebruikers over valse update-prompts en het volgen van ongebruikelijke RMM tool installaties. Het malware-as-a-service model bevat abonnementsfuncties met huurvervalvelden, wat suggereert dat er voortdurende ontwikkeling en operator-ondersteuning is naast de initiële aanschafprijs van $800.
Bron

Cybercrimeinfo meldt dat twee kwaadaardige VS Code extensies, gezamenlijk bekend als de "MaliciousCorgi" campagne, de broncode en persoonlijke data van naar schatting 1,5 miljoen ontwikkelaars hebben gelekt. De extensies, vermomd als AI coding assistants, zijn actief in de officiële marketplace en werken zoals beloofd door code suggesties te geven en fouten uit te leggen. Echter, op de achtergrond verzamelen ze stiekem data en versturen deze naar servers in China.

De ontdekte extensies, `whensunset.chatgpt-china` en `zhukunpeng.chat-moss`, bevatten identieke kwaadaardige code, wat wijst op een gecoördineerde campagne. Ze functioneren als volgt:

1.  **Real-Time File Monitoring:** Elke keer dat een bestand wordt geopend, wordt de volledige inhoud gecodeerd in Base64 en verzonden naar een verborgen tracking iframe. Dit gebeurt ook bij elke wijziging in een bestand.
2.  **Mass File Harvesting:** Een server kan op afstand een commando geven om tot 50 bestanden tegelijk te verzamelen en te verzenden, zonder dat de gebruiker dit merkt.
3.  **Profiling Engine:** Een verborgen iframe laadt vier commerciële analytics SDKs (Zhuge.io, GrowingIO, TalkingData, en Baidu Analytics) om een gedetailleerd profiel van de gebruiker te creëren, inclusief locatie, bedrijf, en projecten. Deze informatie wordt mogelijk gebruikt om te bepalen welke bestanden het meest waardevol zijn om te stelen.

De risico's zijn aanzienlijk. Gevoelige informatie zoals API keys, database wachtwoorden, server endpoints, SSH keys en de broncode zelf kunnen in verkeerde handen vallen. Doordat de extensies werken zoals geadverteerd en positieve reviews hebben, werden ze door veel ontwikkelaars vertrouwd. Dit illustreert het gevaar van het blindelings vertrouwen op AI tooling zonder grondige verificatie van hun gedrag.

Koi, een cybersecurity bedrijf, benadrukt de noodzaak van tools die analyseren wat extensies daadwerkelijk doen na installatie en die bedreigingen kunnen detecteren en blokkeren voordat ze schade aanrichten. Ze adviseren bedrijven om niet te kiezen tussen snelheid en veiligheid bij de adoptie van AI tools.

Als indicator van compromittatie (IOC) zijn de namen van de schadelijke extensies en het domein `aihao123.cn` vrijgegeven. Ontwikkelaars wordt aangeraden deze extensies onmiddellijk te verwijderen en hun code repositories te controleren op gelekte credentials.

Bron

Op 22 januari 2026 werd bekend dat een populaire WordPress-plugin, LA-Studio Element Kit for Elementor, door een interne bedreiging van een backdoor was voorzien. Deze plugin, die op meer dan 20.000 websites is geïnstalleerd, stelt gebruikers van Elementor in staat om hun WordPress-sites aan te passen met extra widgets, thema's en andere functionaliteiten. Elementor zelf is een veelgebruikte "page builder" plugin die de standaard WordPress-editor vervangt en door meer dan tien miljoen websites wordt gebruikt.
Het beveiligingsbedrijf Wordfence onthulde de backdoor nadat het door het ontwikkelteam van de plugin was ingelicht. De backdoor maakte het mogelijk voor een ongeauthenticeerde aanvaller om beheerdersaccounts aan de getroffen websites toe te voegen, waardoor de volledige controle over de site in handen van de aanvaller kwam. Deze actie werd uitgevoerd door een voormalige medewerker, die eind december was ontslagen. De laatste wijziging aan de backdoor werd enkele dagen voor de ontdekking gemaakt.
De kwetsbaarheid werd ontdekt door een onderzoeker die opmerkte dat het mogelijk was om tijdens de registratie van een account een parameter op te geven waarmee men direct administratorrechten kon verkrijgen. De functie die dit mogelijk maakte, was geobfusceerd om detectie te bemoeilijken.
Het ontwikkelteam heeft inmiddels een update uitgebracht, versie 1.6.0, waarin de backdoor is verwijderd. Opvallend is dat de release notes van deze update geen melding maken van de aanwezigheid van de backdoor. Cijfers van WordPress.org laten zien dat slechts een klein deel van de websites die de plugin gebruiken, ongeveer vijfduizend, de update al heeft geïnstalleerd.
Wordfence benadrukt dat dit incident een belangrijke herinnering is aan de risico's van interne bedreigingen. Organisaties dienen adequate controles en procedures te implementeren voor het omgaan met ontslagen personeel en de activiteiten van medewerkers regelmatig te monitoren. Het is cruciaal om passende maatregelen te nemen om te voorkomen dat kwaadwillende actoren misbruik kunnen maken van interne toegang tot systemen en data. De impact van een dergelijke backdoor kan aanzienlijk zijn, variërend van dataverlies en reputatieschade tot financiële verliezen en het compromitteren van gevoelige informatie.
Voor organisaties die gebruik maken van de LA-Studio Element Kit for Elementor plugin is het van groot belang om zo spoedig mogelijk te updaten naar versie 1.6.0 om het risico op misbruik van de backdoor te minimaliseren. Daarnaast is het raadzaam om de gebruikersaccounts op de website te controleren op ongeautoriseerde beheerdersaccounts en om de beveiligingsmaatregelen te evalueren en aan te scherpen om toekomstige incidenten te voorkomen.
Bron

Een kwaadaardig Python Package Index (PyPI)-pakket, dat zich voordeed als een verbeterde versie van het populaire 'Colorama'-pakket, is ontdekt. Dit pakket, bedoeld om ontwikkelaars te misleiden, bevatte schadelijke code die was ontworpen om gevoelige informatie te stelen.
Het pakket, dat de naam 'Colorama-mod' droeg, werd door onderzoekers opgemerkt tijdens een routinecontrole van recent geüploade pakketten op PyPI. De naamgeving was opzettelijk gekozen om verwarring te zaaien met het legitieme 'Colorama'-pakket, een veelgebruikte bibliotheek die ANSI-kleurcodes beschikbaar maakt voor gebruik in de Windows-terminal. Het originele Colorama pakket is een veelgebruikte library die simpele ANSI-kleurcodes beschikbaar maakt voor Windows. De kwaadaardige variant probeerde ontwikkelaars te verleiden het te installeren in de waan dat het een geüpdatete of verbeterde versie van Colorama was.
Na analyse bleek dat 'Colorama-mod' een script bevatte dat, eenmaal uitgevoerd, probeerde om omgevingsvariabelen, API-sleutels en andere potentieel gevoelige gegevens van de machine van de gebruiker te verzamelen. Deze gestolen informatie werd vervolgens naar een externe server verzonden die onder controle stond van de aanvallers. De aanvallers hadden specifiek gekeken naar bestanden en configuraties die vaak gebruikt worden voor cloud deployments en software development.
De impact van deze aanval kan aanzienlijk zijn. Ontwikkelaars die nietsvermoedend het kwaadaardige pakket installeerden, liepen het risico dat hun inloggegevens, API-sleutels en andere gevoelige informatie in verkeerde handen terecht zouden komen. Dit zou kunnen leiden tot ongeautoriseerde toegang tot hun accounts, systemen en data, met mogelijk ernstige gevolgen voor zowel individuele ontwikkelaars als de organisaties waarvoor ze werken.
Het incident benadrukt het belang van waakzaamheid bij het downloaden en installeren van pakketten uit openbare repositories zoals PyPI. Ontwikkelaars wordt aangeraden om altijd de naam van het pakket, de auteur en de broncode te controleren voordat ze het installeren. Het is ook raadzaam om beveiligingsscanners te gebruiken om potentiële bedreigingen te detecteren. Regelmatige controles van de afhankelijkheden van projecten kunnen ook helpen om kwaadaardige pakketten vroegtijdig te identificeren en te verwijderen.
PyPI beheerders hebben het kwaadaardige pakket inmiddels verwijderd, maar het incident dient als een waarschuwing voor de aanhoudende dreiging van supply chain-aanvallen. Cybercriminelen blijven zoeken naar manieren om kwaadaardige code te verspreiden via populaire open-source repositories, en ontwikkelaars moeten zich bewust zijn van de risico's en de nodige voorzorgsmaatregelen nemen om zichzelf te beschermen. Dit soort aanvallen waarbij criminelen zich voordoen als legitieme softwareleveranciers wordt steeds gebruikelijker.
Organisaties wordt aangeraden om hun ontwikkelteams bewust te maken van deze dreigingen en hen te trainen in veilige ontwikkelingspraktijken. Het implementeren van een robuust supply chain security programma, inclusief het gebruik van tools voor het scannen van afhankelijkheden en het regelmatig uitvoeren van beveiligingsaudits, kan helpen om het risico op slachtofferschap te verminderen. Proactieve monitoring en alerting systemen kunnen ook helpen bij het detecteren van verdachte activiteiten en het snel reageren op potentiële inbreuken.
Bron

Een grootschalige ClickFix-campagne is ontdekt, waarbij cybercriminelen Facebook-sessies kapen door gebruikers te misleiden met valse verificatiepagina's. Deze campagne, die sinds begin januari 2026 actief is, richt zich op nietsvermoedende gebruikers door hen te lokken naar nagemaakte Facebook-loginpagina's. Het doel is om de inloggegevens te bemachtigen en vervolgens de Facebook-sessies van de slachtoffers over te nemen.
De aanval begint doorgaans met een phishing-e-mail of een misleidende link die via sociale media wordt verspreid. Deze berichten bevatten vaak urgente waarschuwingen over vermeende beveiligingsproblemen met het Facebook-account van de gebruiker. Om de geloofwaardigheid te verhogen, wordt de gebruiker gevraagd om zijn of haar account te "verifiëren" via een link. Deze link leidt naar een valse Facebook-loginpagina die visueel identiek is aan de echte pagina.
Wanneer een gebruiker zijn of haar inloggegevens invoert op deze valse pagina, worden de gegevens direct doorgestuurd naar de cybercriminelen. Vervolgens gebruiken de aanvallers deze inloggegevens om toegang te krijgen tot het echte Facebook-account van het slachtoffer. Eenmaal binnen, kunnen ze verschillende schadelijke acties uitvoeren, zoals het verspreiden van spam, het verzenden van phishing-berichten naar de contacten van het slachtoffer, het plaatsen van malware-links of zelfs het stelen van persoonlijke informatie voor identiteitsfraude.
De ClickFix-campagne maakt gebruik van geavanceerde technieken om detectie te vermijden. De valse loginpagina's worden vaak gehost op gekraakte websites of via gratis hostingdiensten om de bron van de aanval te verbergen. Bovendien maken de aanvallers gebruik van verschillende obfuscatietechnieken om de code van de phishing-pagina's te verbergen en de detectie door beveiligingssoftware te bemoeilijken.
Beveiligingsexperts adviseren Facebook-gebruikers om extra voorzichtig te zijn met ongevraagde e-mails of berichten die hen vragen om hun account te verifiëren. Het is cruciaal om de URL van de loginpagina te controleren voordat u inloggegevens invoert. Een legitieme Facebook-loginpagina begint altijd met "https://www.facebook.com". Gebruikers moeten ook tweefactorauthenticatie inschakelen om een extra beveiligingslaag toe te voegen aan hun account. Zelfs als de inloggegevens worden gecompromitteerd, is het voor de aanvallers moeilijker om toegang te krijgen tot het account zonder de tweede authenticatiefactor.
Organisaties moeten hun medewerkers bewust maken van deze ClickFix-campagne en hen trainen om phishing-aanvallen te herkennen. Het is essentieel om een robuust beveiligingsbeleid te implementeren dat het gebruik van sterke wachtwoorden, regelmatige wachtwoordwijzigingen en tweefactorauthenticatie vereist. Door proactieve maatregelen te nemen, kunnen organisaties het risico op succesvolle Facebook-accountovernames en de daaruit voortvloeiende schade aanzienlijk verminderen. Het is ook belangrijk om beveiligingssoftware up-to-date te houden en verdachte activiteiten te melden aan Facebook.
De omvang en de geavanceerde technieken die in deze ClickFix-campagne worden gebruikt, benadrukken de voortdurende dreiging van phishing-aanvallen op sociale media. Gebruikers moeten waakzaam blijven en de aanbevolen beveiligingspraktijken volgen om hun Facebook-accounts en persoonlijke informatie te beschermen.
Bron

Een nieuwe, geavanceerde malwarecampagne richt zich op Windows-systemen met een meerfasige aanpak die begint met het uitschakelen van Microsoft Defender Antivirus voordat kwaadaardige payloads worden uitgevoerd. Deze techniek stelt de malware in staat om detectie te vermijden en ongestoord op het systeem te opereren. De complexiteit van de aanval, die meerdere fasen omvat, maakt het bijzonder lastig te detecteren en te analyseren.
De eerste fase van de aanval omvat doorgaans de levering van een schadelijk document of een misleidende e-mail met een geïnfecteerde bijlage. Zodra het slachtoffer de bijlage opent of op een kwaadaardige link klikt, wordt de malware geactiveerd. Vervolgens begint de malware met het uitvoeren van een reeks acties die erop gericht zijn de beveiligingsmaatregelen van het systeem te omzeilen.
Een cruciaal onderdeel van deze aanpak is het uitschakelen van Microsoft Defender Antivirus. De malware gebruikt verschillende technieken om dit te bereiken, zoals het wijzigen van registerinstellingen, het stoppen van Defender-services en het verwijderen van Defender-bestanden. Door Defender uit te schakelen, creëert de malware een open pad voor de volgende fasen van de aanval.
Nadat Microsoft Defender is uitgeschakeld, gaat de malware verder met het downloaden en installeren van extra payloads. Deze payloads kunnen variëren, afhankelijk van de doelstellingen van de aanvallers. Voorbeelden hiervan zijn het stelen van gevoelige informatie, het installeren van ransomware of het creëren van een backdoor voor toekomstige toegang.
De impact van deze malwarecampagne kan aanzienlijk zijn voor organisaties die afhankelijk zijn van Microsoft Defender als hun primaire beveiligingsoplossing. Het succesvol uitschakelen van Defender stelt aanvallers in staat om ongehinderd toegang te krijgen tot gevoelige gegevens, systemen te compromitteren en financiële schade te veroorzaken. Het is daarom essentieel dat organisaties zich bewust zijn van deze dreiging en aanvullende beveiligingsmaatregelen implementeren om zich ertegen te beschermen.
Deze maatregelen kunnen bestaan uit het implementeren van een meerlagige beveiligingsstrategie, het up-to-date houden van software en besturingssystemen, het trainen van medewerkers om phishing-pogingen te herkennen en het regelmatig uitvoeren van beveiligingsaudits. Ook het gebruik van endpoint detection and response (EDR)-oplossingen kan helpen bij het detecteren en neutraliseren van geavanceerde bedreigingen zoals deze. Het is cruciaal om te begrijpen dat geen enkele beveiligingsmaatregel 100% bescherming biedt, maar een combinatie van verschillende technieken kan de kans op een succesvolle aanval aanzienlijk verminderen.
Het is belangrijk om te benadrukken dat de malware voortdurend evolueert en dat aanvallers voortdurend nieuwe technieken ontwikkelen om beveiligingsmaatregelen te omzeilen. Daarom is het essentieel om op de hoogte te blijven van de laatste dreigingen en om de beveiligingsmaatregelen voortdurend aan te passen aan de veranderende dreigingsomgeving. Proactieve monitoring en threat intelligence zijn essentieel om potentiële aanvallen vroegtijdig te detecteren en te voorkomen.
Bron

Een nieuwe variant van Android-malware, aangedreven door kunstmatige intelligentie (AI), is ontdekt die automatisch op advertenties klikt vanaf geïnfecteerde apparaten. Deze malware, ontdekt door beveiligingsonderzoekers, maakt gebruik van AI-algoritmen om advertenties te identificeren en erop te klikken zonder tussenkomst van de gebruiker, wat resulteert in frauduleuze advertentie-inkomsten voor de aanvallers. De malware is een significante bedreiging, omdat het moeilijk te detecteren en te verwijderen is, en het kan een aanzienlijke impact hebben op de prestaties en batterijduur van het apparaat.
De malware verspreidt zich via kwaadaardige apps die worden gedistribueerd via niet-officiële app stores en via phishing-campagnes. Zodra een app is geïnstalleerd, gebruikt de malware AI-technieken om het gedrag van de gebruiker te analyseren en te leren hoe hij met advertenties omgaat. Vervolgens simuleert het menselijk gedrag om op advertenties te klikken, waardoor detectie door traditionele beveiligingsmaatregelen wordt vermeden. De malware maakt gebruik van technieken zoals het willekeurig bewegen van de muiscursor en het variëren van de tijd tussen klikken om de indruk te wekken dat de klikken afkomstig zijn van een echte gebruiker.
Een van de meest zorgwekkende aspecten van deze malware is het gebruik van AI. Traditionele malware vertrouwt op vooraf geprogrammeerde regels en patronen om zijn doel te bereiken. Deze nieuwe malware kan echter leren en zich aanpassen aan veranderende omstandigheden, waardoor het veel moeilijker te detecteren en te bestrijden is. De AI-component stelt de malware in staat om nieuwe advertenties te identificeren en erop te klikken, zelfs als deze niet in de oorspronkelijke code zijn opgenomen. Dit maakt de malware zeer flexibel en robuust.
De impact van deze malware kan aanzienlijk zijn. Voor gebruikers resulteert dit in een verminderde batterijduur en een vertraagde prestatie van het apparaat. Bovendien kan het leiden tot een hoger dataverbruik, wat resulteert in extra kosten. Voor bedrijven die afhankelijk zijn van online advertenties, kan de malware leiden tot een vertekend beeld van hun advertentiecampagnes en een verminderde ROI (Return on Investment). De frauduleuze klikken blazen de cijfers op, waardoor het moeilijk wordt om de effectiviteit van de campagnes te meten en te optimaliseren.
Organisaties moeten zich bewust zijn van deze dreiging en proactieve maatregelen nemen om zich te beschermen. Het is essentieel om medewerkers te trainen in het herkennen van phishing-e-mails en het vermijden van het downloaden van apps van niet-officiële bronnen. Het implementeren van een robuuste mobiele beveiligingsoplossing die AI-gestuurde malware kan detecteren en blokkeren, is ook cruciaal. Regelmatige beveiligingsscans en updates van het besturingssysteem en apps zijn eveneens van belang om kwetsbaarheden te dichten.
De opkomst van AI-gestuurde malware markeert een nieuwe fase in de evolutie van cyberdreigingen. Het vereist een meer geavanceerde en adaptieve benadering van beveiliging. Organisaties moeten investeren in AI-gestuurde beveiligingsoplossingen die in staat zijn om te leren en zich aan te passen aan nieuwe bedreigingen. Het delen van informatie over nieuwe malware-varianten en aanvalstechnieken is ook essentieel om de collectieve beveiligingshouding te versterken.
De detectie van deze AI-gestuurde Android malware onderstreept het belang van voortdurend onderzoek en ontwikkeling op het gebied van cybersecurity. De cybercriminelen passen hun technieken voortdurend aan, en het is van cruciaal belang dat beveiligingsonderzoekers en -leveranciers een stap voor blijven. Door samen te werken en informatie te delen, kunnen we een veiligere online omgeving creëren voor iedereen.
Bron

Het gebruik van JA3-fingerprinting heeft geleid tot de blootlegging van de infrastructuur die door cybercriminelen wordt gebruikt. Deze techniek, die unieke vingerafdrukken van TLS-client- en serverhandshakes creëert, stelt beveiligingsonderzoekers in staat om kwaadaardige actoren en hun methoden effectiever te identificeren en te volgen.
JA3 genereert hash-waarden op basis van de volgorde van cipher suites, TLS-versies en extensies die tijdens de TLS-handshake worden uitgewisseld. Deze hash-waarden fungeren als een unieke vingerafdruk voor een specifieke client- of serverconfiguratie. Door deze vingerafdrukken te analyseren, kunnen beveiligingsteams patronen herkennen en kwaadaardige activiteiten identificeren, zelfs als de aanvallers proberen hun verkeer te maskeren met behulp van verschillende IP-adressen of domeinen.
De relevantie van JA3-fingerprinting ligt in het feit dat aanvallers vaak consistente software en configuraties gebruiken voor hun operaties. Zelfs als ze proberen hun sporen te wissen door bijvoorbeeld van IP-adres te veranderen, blijft de JA3-vingerafdruk vaak hetzelfde. Dit maakt het een krachtig hulpmiddel voor het opsporen van kwaadaardige infrastructuur over verschillende aanvallen heen.
Voor organisaties biedt JA3-fingerprinting een extra verdedigingslaag. Door JA3-vingerafdrukken van bekend kwaadaardige actoren te monitoren, kunnen organisaties potentiële bedreigingen vroegtijdig detecteren en passende maatregelen nemen. Dit kan variëren van het blokkeren van verkeer van verdachte IP-adressen tot het verder onderzoeken van interne systemen die communiceren met bekende kwaadaardige servers.
De implementatie van JA3-fingerprinting vereist tools die TLS-handshakes kunnen analyseren en JA3-hashes kunnen genereren. Verschillende open-source en commerciële oplossingen bieden deze functionaliteit. Het is belangrijk voor organisaties om een oplossing te kiezen die goed integreert met hun bestaande beveiligingsinfrastructuur en die real-time monitoring en alerting mogelijk maakt.
Een belangrijk aspect van JA3-fingerprinting is het verzamelen en onderhouden van een database met bekende kwaadaardige JA3-vingerafdrukken. Deze database kan worden aangevuld met informatie uit verschillende bronnen, waaronder threat intelligence feeds en open-source informatie. Door deze informatie te combineren, kunnen organisaties een uitgebreid beeld krijgen van de dreigingslandschap en hun verdediging dienovereenkomstig aanpassen.
Naast het detecteren van kwaadaardige activiteiten kan JA3-fingerprinting ook worden gebruikt voor het identificeren van verouderde of onveilige softwareconfiguraties. Door JA3-vingerafdrukken van interne systemen te analyseren, kunnen organisaties systemen identificeren die kwetsbaar zijn voor aanvallen en stappen ondernemen om deze te patchen of te upgraden.
Het is cruciaal voor organisaties om de privacy implicaties van JA3-fingerprinting te overwegen. Hoewel JA3-fingerprinting geen persoonlijke gegevens verzamelt, kan het worden gebruikt om individuele gebruikers te identificeren als hun verkeer unieke JA3-vingerafdrukken genereert. Organisaties moeten transparant zijn over hun gebruik van JA3-fingerprinting en ervoor zorgen dat ze voldoen aan alle relevante privacywetten en -regelgeving.
Tot slot biedt JA3-fingerprinting een waardevolle aanvulling op de gereedschapskist van cybersecurity professionals. Door het vermogen om kwaadaardige infrastructuur te identificeren en te volgen, helpt het organisaties om potentiële bedreigingen vroegtijdig te detecteren en hun verdediging te versterken. Door de juiste tools te implementeren en een actueel overzicht van de dreigingslandschap te behouden, kunnen organisaties de effectiviteit van JA3-fingerprinting maximaliseren.
Bron

Onderzoekers hebben een gedetailleerd overzicht gepubliceerd van de operationele beveiligingsfouten (OPSEC) van de r1z Initial Access Broker (IAB). Deze onthullingen werpen een nieuw licht op de werkwijze van deze speler in de ondergrondse cybercrimewereld en bieden waardevolle inzichten voor organisaties die zich willen beschermen tegen mogelijke aanvallen. Initial Access Brokers (IAB's) zijn cybercriminelen die zich specialiseren in het verkrijgen van initiële toegang tot bedrijfsnetwerken en deze toegang vervolgens verkopen aan andere criminele groepen, zoals ransomware-operators.
Het rapport beschrijft hoe r1z, ondanks zijn rol als tussenpersoon in de cybercriminaliteit, significante fouten heeft gemaakt in zijn eigen beveiligingspraktijken. Deze fouten omvatten het hergebruik van wachtwoorden over verschillende platforms, het onzorgvuldig omgaan met gevoelige informatie en het gebrek aan adequate encryptie van communicatie. Onderzoekers konden deze fouten blootleggen door open-source intelligence (OSINT) technieken te gebruiken en de online activiteiten van r1z te monitoren.
De onthullingen over de OPSEC-fouten van r1z zijn van groot belang voor organisaties. Ze benadrukken het feit dat zelfs ervaren cybercriminelen kwetsbaar kunnen zijn voor detectie als ze nalatig omgaan met hun eigen beveiliging. Deze informatie kan organisaties helpen om hun eigen beveiligingsmaatregelen te verbeteren en beter voorbereid te zijn op aanvallen die mogelijk via IAB's worden uitgevoerd.
Een belangrijk aspect van het onderzoek is de analyse van de gebruikte tools en technieken door r1z. Uit het onderzoek blijkt dat r1z gebruikmaakt van een breed scala aan tools, waaronder commerciële penetration testing tools en zelf ontwikkelde scripts. De technieken die worden gebruikt om toegang te verkrijgen tot netwerken variëren van phishing-aanvallen tot het exploiteren van bekende kwetsbaarheden in software.
De onderzoekers waarschuwen dat IAB's zoals r1z een groeiende bedreiging vormen voor organisaties van alle groottes. Door de toegang tot bedrijfsnetwerken te verkopen aan andere criminele groepen, maken ze het mogelijk voor deze groepen om snel en efficiënt aanvallen uit te voeren. Het is daarom essentieel dat organisaties proactieve maatregelen nemen om zich te beschermen tegen deze dreiging.
Deze maatregelen omvatten het implementeren van sterke wachtwoordbeleid, het regelmatig uitvoeren van beveiligingsaudits en het trainen van medewerkers om phishing-aanvallen te herkennen. Daarnaast is het belangrijk om kwetsbaarheden in software tijdig te patchen en om adequate encryptie te gebruiken voor gevoelige communicatie. Het monitoren van netwerkverkeer en het detecteren van verdachte activiteiten kan ook helpen om aanvallen vroegtijdig te identificeren en te voorkomen.
De blootstelling van r1z's OPSEC-falen dient als een waarschuwing voor andere cybercriminelen en een les voor organisaties. Het toont aan dat zelfs de meest ervaren aanvallers kwetsbaar zijn en dat een goede beveiliging essentieel is om zich te beschermen tegen cyberdreigingen. Door de lessen uit dit onderzoek te leren, kunnen organisaties hun eigen beveiligingshouding verbeteren en beter voorbereid zijn op de uitdagingen van de moderne cybercrimewereld.
Bron

Op 22 januari 2026 werd bekend dat een operationele beveiligingsfout (opsec) bij de INC ransomware-groep heeft geleid tot het herstellen van gegevens die waren gestolen van twaalf Amerikaanse organisaties. Cyber Centaurs, een bedrijf gespecialiseerd in digitale forensische analyses en incident response, onthulde deze bevindingen na een diepgaand onderzoek van de sporen die de aanvallers hadden achtergelaten. Dit onderzoek onthulde tooling die niet direct was gebruikt in de onderzochte aanval, maar wel de infrastructuur van de aanvallers blootlegde, waarop data van meerdere slachtoffers was opgeslagen.
Het onderzoek van Cyber Centaurs startte nadat een Amerikaanse klantorganisatie ransomware-encryptieactiviteit detecteerde op een productie SQL Server. De payload, een variant van de RainINC ransomware, werd uitgevoerd vanuit de PerfLogs directory, een locatie die doorgaans door Windows wordt aangemaakt. Ransomware-actoren zijn deze directory steeds vaker gaan gebruiken voor staging.
De onderzoekers ontdekten ook sporen van de legitieme backup tool Restic. Hoewel data-exfiltratie al had plaatsgevonden tijdens de laterale bewegingsfase en de tool niet rechtstreeks in deze aanval werd gebruikt, leidde dit tot een verschuiving in de focus van het onderzoek: van incident response naar infrastructuuranalyse.
De sporen die INC ransomware achterliet, omvatten hernoemde binaries (zoals ‘winupdate.exe’), PowerShell scripts voor het uitvoeren van Restic, hardcoded repository configuratievariabelen en backup commands. Deze Restic-gerelateerde overblijfselen suggereerden dat de dreigingsactor de backup tool selectief gebruikte als onderdeel van zijn operationele toolkit.
Een van de ontdekte PowerShell scripts, 'new.ps1', bevatte Base64-gecodeerde commando's voor Restic en hardcoded omgevingsvariabelen die werden gebruikt om de tool uit te voeren, zoals access keys, repository paths en S3 passwords voor encrypted repositories.
Cyber Centaurs theoretiseerde dat als INC routinematig Restic-gebaseerde infrastructuur hergebruikte over verschillende campagnes, de storage repositories waarnaar in de scripts van de aanvallers werd verwezen, waarschijnlijk niet zouden worden ontmanteld zodra een ransom-event was afgerond. In plaats daarvan zouden deze repositories waarschijnlijk blijven bestaan als door de aanvallers gecontroleerde assets, die stilzwijgend versleutelde slachtofferdata zouden bewaren, lang nadat de onderhandelingen waren beëindigd of betalingen waren gedaan.
Om deze hypothese te valideren, ontwikkelde het team een gecontroleerd, niet-destructief enumeratieproces dat de aanwezigheid bevestigde van versleutelde data, gestolen van twaalf niet-gerelateerde organisaties in de sectoren gezondheidszorg, productie, technologie en dienstverlening in de Verenigde Staten. Geen van deze organisaties was klant bij Cyber Centaurs, en de incidenten waren niet gerelateerd aan elkaar maar distincte ransomware events.
De onderzoekers ontsleutelden vervolgens de backups en bewaarden de kopieën, terwijl ze contact opnamen met de wetshandhaving om de eigendom te valideren en hen door de juiste procedure te leiden.
Het rapport van Cyber Centaurs vermeldt verschillende tools die worden gebruikt bij INC ransomware-aanvallen, waaronder cleanup tools, remote access software en network scanners. Daarnaast creëerden de onderzoekers YARA- en Sigma-regels om verdedigers te helpen de Restic backup tool of zijn hernoemde binaries te detecteren in de omgeving of wanneer deze vanuit verdachte locaties worden uitgevoerd, wat zou kunnen duiden op een ransomware-aanval in ontwikkeling.
INC ransomware is een ransomware-as-a-service (RaaS) operatie die medio 2023 opkwam. De dreigingsactor heeft in de loop der jaren claims gelegd op verschillende spraakmakende slachtoffers, waaronder Yamaha Motor, Xerox Business Solution, Scotland's NHS, McLaren Health Care, de Texas State Bar, Ahold Delhaize, het Panama Ministry of Economy, het Pennsylvania AG Office en Crisis24. Het feit dat door een simpele opsec fout de data van 12 Amerikaanse bedrijven kon worden hersteld, laat zien dat het loont om als slachtoffer onderzoek te blijven doen naar de mogelijkheden om de gestolen data terug te krijgen.
Bron

Check Point Research volgt momenteel een phishingcampagne die wordt gekoppeld aan de Noord-Koreaans georiënteerde dreigingsactor bekend als Konni. Deze recente activiteiten wijken af van de traditionele doelwitten van de groep en wijzen op een bredere focus in de regio Azië-Pacific, waaronder Japan, Australië en India. De aanvallers richten zich specifiek op softwareontwikkelaars en engineeringteams die expertise hebben in of toegang hebben tot blockchain-gerelateerde middelen en infrastructuur. Een opvallend kenmerk van deze campagne is de inzet van een door kunstmatige intelligentie gegenereerde PowerShell-backdoor, wat de groeiende trend onderstreept waarbij dreigingsactoren geavanceerde AI-tools in hun methodologie integreren.

Konni is sinds ten minste 2014 actief en stond voorheen vooral bekend om het viseren van organisaties en individuen in Zuid-Korea, met name binnen diplomatieke kringen, non-gouvernementele organisaties en de overheid. De groep maakt doorgaans gebruik van spear-phishing met documenten die inspelen op geopolitieke kwesties rondom het Koreaanse schiereiland. In deze nieuwe operatie wordt echter lokaasmateriaal gebruikt dat oogt als legitieme projectdocumentatie voor blockchain- en crypto-initiatieven. De documenten bevatten technische details zoals architectuurschema's, technologie-stacks en budgetten, wat suggereert dat de aanvallers erop uit zijn ontwikkelomgevingen binnen te dringen om toegang te krijgen tot gevoelige activa zoals API-inloggegevens en cryptowallets.

De infectieketen begint met een link via Discord die een ZIP-archief downloadt. Dit archief bevat een PDF-document en een Windows snelkoppelingsbestand. Wanneer dit bestand wordt uitgevoerd, start een ingesloten PowerShell-loader die een DOCX-document en een CAB-archief uitpakt. Het DOCX-bestand dient als afleiding voor de gebruiker, terwijl het CAB-bestand de kwaadaardige lading bevat, waaronder de PowerShell-backdoor en bestanden voor het omzeilen van gebruikersaccountbeheer. Om persistentie op het systeem te verkrijgen, creëert een batchscript een geplande taak die zich voordoet als een legitieme OneDrive-opstarttaak. Deze taak voert elk uur een commando uit dat de versleutelde backdoor decodeert en in het geheugen laadt. De gebruikte PowerShell-code is zwaar geobfusceerd met behulp van op rekenkunde gebaseerde karaktercodering en vertoont kenmerken van generatie door kunstmatige intelligentie.

Bron

Een nieuwe proxyware-variant, vermomd als een legitieme Notepad++ tool, is ontdekt. Deze malware maakt gebruik van het Windows Explorer-proces om systemen te kapen en te transformeren in proxy servers. Deze ontdekking benadrukt de toenemende complexiteit van malware-aanvallen en de noodzaak voor bedrijven en individuen om waakzaam te zijn met betrekking tot de software die ze installeren.
De malware verspreidt zich door zich voor te doen als een legitieme versie van Notepad++, een populaire teksteditor voor Windows. Slachtoffers worden misleid om de geïnfecteerde software te downloaden, meestal via onofficiële kanalen of misleidende advertenties. Na installatie nestelt de proxyware zich diep in het systeem en maakt het gebruik van het explorer.exe proces, een cruciaal onderdeel van het Windows besturingssysteem, om zijn activiteiten te maskeren.
Het gebruik van explorer.exe is een slimme tactiek omdat dit proces doorgaans als betrouwbaar wordt beschouwd door beveiligingssoftware. Door hierop mee te liften, kan de malware detectie ontwijken en onopgemerkt op het systeem blijven werken. De gekaapte systemen worden vervolgens ingezet als proxy servers, waarmee cybercriminelen hun activiteiten kunnen anonimiseren, zoals het lanceren van verdere aanvallen, het verspreiden van spam, of het uitvoeren van andere kwaadaardige activiteiten.
Organisaties lopen een aanzienlijk risico door deze proxyware. Gecompromitteerde systemen binnen een netwerk kunnen niet alleen worden gebruikt voor externe aanvallen, maar kunnen ook dienen als toegangspunt voor verdere infecties en datalekken. Daarnaast kan het onopgemerkt gebruik van bandbreedte leiden tot prestatieproblemen en verhoogde operationele kosten.
De impact van deze dreiging strekt zich uit tot individuele gebruikers, wiens systemen zonder hun medeweten kunnen worden gebruikt voor illegale activiteiten. Dit kan leiden tot juridische problemen en reputatieschade voor de betrokken personen. Het is daarom cruciaal dat gebruikers zich bewust zijn van de risico's en voorzorgsmaatregelen nemen om hun systemen te beschermen.
Het is aanbevolen om software uitsluitend te downloaden van officiële websites en om verdachte e-mails en links te vermijden. Regelmatige scans met up-to-date antivirussoftware zijn essentieel om malware te detecteren en te verwijderen. Daarnaast is het belangrijk om medewerkers binnen organisaties te trainen in het herkennen van phishing-pogingen en andere social engineering-tactieken die worden gebruikt om malware te verspreiden. Het monitoren van netwerkverkeer op ongebruikelijke activiteiten kan ook helpen om gecompromitteerde systemen te identificeren en de impact van de proxyware te beperken.
Bron

Hackers hebben een nieuwe techniek ontwikkeld om kwaadaardige Linux-softwarepakketten te verspreiden via gekaapte Snap-domeinen. Deze aanpak omzeilt traditionele beveiligingsmaatregelen en vormt een aanzienlijke bedreiging voor zowel desktop- als serveromgevingen die gebruikmaken van Snap, een populaire pakketbeheerder voor Linux-distributies. De aanvallers richten zich op Snap-domeinen die niet langer actief worden beheerd, maar nog wel in de Snap Store aanwezig zijn.
De werkwijze van de aanvallers is relatief eenvoudig, maar effectief. Ze identificeren verlopen of verwaarloosde Snap-domeinen, bijvoorbeeld domeinen waarvan de oorspronkelijke ontwikkelaars het beheer hebben opgegeven. Vervolgens verkrijgen ze de controle over deze domeinen, vaak door ze opnieuw te registreren. Eenmaal in het bezit van het domein, kunnen ze kwaadaardige Snap-pakketten publiceren onder de naam van de oorspronkelijke uitgever. Gebruikers die nietsvermoedend deze pakketten installeren, lopen het risico dat hun systemen worden gecompromitteerd.
Het gevaar schuilt in het feit dat de Snap Store, de centrale repository voor Snap-pakketten, vertrouwt op domeinverificatie om de authenticiteit van de pakketten te garanderen. Wanneer een pakket wordt gepubliceerd, controleert de Snap Store of de uitgever de controle heeft over het bijbehorende domein. In het geval van gekaapte domeinen, misleiden de aanvallers de Snap Store, waardoor hun kwaadaardige pakketten als legitiem worden beschouwd. Dit maakt het voor gebruikers moeilijk om het verschil te zien tussen een authentiek en een schadelijk pakket.
De impact van deze aanvalstechniek kan aanzienlijk zijn. Kwaadaardige Snap-pakketten kunnen worden gebruikt om een breed scala aan schadelijke activiteiten uit te voeren, waaronder het stelen van gevoelige informatie, het installeren van rootkits, het uitvoeren van DDoS-aanvallen of het compromitteren van de algehele systeembeveiliging. Servers die zijn blootgesteld aan deze bedreiging kunnen dienen als toegangspunten tot interne netwerken, waardoor de aanvallers zich lateraal kunnen verplaatsen en nog meer schade kunnen aanrichten.
Organisaties die Snap gebruiken, moeten zich bewust zijn van dit risico en passende maatregelen nemen om zich te beschermen. Het is essentieel om de Snap-pakketten die op hun systemen zijn geïnstalleerd nauwlettend in de gaten te houden en te controleren of ze afkomstig zijn van betrouwbare bronnen. Gebruikers moeten ook worden getraind om verdachte Snap-pakketten te herkennen en te vermijden. Daarnaast is het raadzaam om de domeinregistratiegegevens van de uitgevers van Snap-pakketten te verifiëren, indien mogelijk. Automatische updates van Snap-pakketten zijn over het algemeen aan te raden, maar in dit geval is extra waakzaamheid geboden. Het is van cruciaal belang dat organisaties proactieve stappen ondernemen om te voorkomen dat hun systemen worden gecompromitteerd door deze nieuwe aanvalstechniek.
Bron

Een nieuwe ransomware-variant, genaamd Osiris, is ontdekt en vormt een potentiële bedreiging voor organisaties wereldwijd. Hoewel de exacte werkwijze en initiële infectievector nog in onderzoek zijn, suggereren de eerste analyses dat Osiris zich richt op het versleutelen van kritieke bestanden en systemen, waarna losgeld wordt geëist voor de decryptiesleutel. Deze opkomst benadrukt de voortdurende evolutie van ransomware en de noodzaak voor organisaties om hun beveiligingsmaatregelen te versterken.
De ontdekking van Osiris komt op een moment dat ransomware-aanvallen steeds vaker voorkomen en complexer worden. Cybercriminelen ontwikkelen voortdurend nieuwe technieken en varianten om beveiligingssystemen te omzeilen en hun kansen op succes te maximaliseren. Dit maakt het essentieel voor organisaties om proactief te zijn in hun cybersecurity-strategie en zich te wapenen tegen de nieuwste dreigingen.
Organisaties moeten zich bewust zijn van de potentiële impact van een ransomware-aanval en de stappen ondernemen om hun risico te minimaliseren. Dit omvat het implementeren van robuuste back-up procedures, het regelmatig patchen van systemen en software, het trainen van medewerkers op het herkennen van phishing-pogingen en andere social engineering-tactieken, en het implementeren van geavanceerde detectie- en response-mechanismen.
De opkomst van Osiris benadrukt ook het belang van threat intelligence. Door op de hoogte te blijven van de nieuwste dreigingen en aanvalstechnieken, kunnen organisaties hun beveiligingsmaatregelen effectiever afstemmen en zich beter beschermen tegen potentiële aanvallen. Dit omvat het monitoren van security blogs, het deelnemen aan brancheforums en het samenwerken met cybersecurity-experts.
Hoewel er nog veel onbekend is over Osiris, is het duidelijk dat deze nieuwe ransomware-variant een potentiële bedreiging vormt. Organisaties moeten waakzaam blijven en de nodige stappen ondernemen om hun risico te minimaliseren. Dit omvat het implementeren van een gelaagde beveiligingsaanpak, het regelmatig testen van hun beveiligingsmaatregelen en het voorbereiden van een incident response plan in geval van een aanval.
De impact van ransomware kan verwoestend zijn voor organisaties, variërend van financiële verliezen en reputatieschade tot verstoring van de bedrijfsvoering en verlies van gevoelige gegevens. Daarom is het van cruciaal belang dat organisaties cybersecurity serieus nemen en de nodige investeringen doen om hun risico te minimaliseren.
Bron

In 2025 hebben Belgische burgers een aanzienlijk bedrag van minstens 38,3 miljoen euro verloren als gevolg van online beleggingsfraude. Dit blijkt uit recente gegevens van de Autoriteit voor Financiële Diensten en Markten (FSMA), de Belgische financiële toezichthouder. Een alarmerende trend is de opkomst van oplichting via WhatsApp-groepen, waarbij criminelen zich voordoen als beleggingsadviseurs of vertegenwoordigers van gerenommeerde bedrijven om slachtoffers te misleiden.
De werkwijze van deze fraudeurs is divers, maar vaak komt het neer op het ongevraagd aanbieden van aantrekkelijke, maar valse, mogelijkheden om snel financieel gewin te behalen. Deze benaderingen vinden plaats via verschillende kanalen, waaronder telefoon, e-mail, sociale media, en in toenemende mate, WhatsApp. Met name de WhatsApp-groepen blijken een effectief middel voor oplichters om potentiële slachtoffers te bereiken en te overtuigen.
De FSMA heeft geconstateerd dat alleen al in de laatste zes maanden van 2025 het verlies door beleggingsfraude via WhatsApp-groepen meer dan 9,5 miljoen euro bedroeg. Het gemiddelde verlies per slachtoffer is hierbij opgelopen tot ongeveer 73.000 euro. Opvallend is dat voornamelijk 50-plussers, overwegend mannen, het slachtoffer worden van deze vorm van oplichting. De fraudeurs misbruiken vaak de namen en reputaties van bekende economen of CEO's om vertrouwen te winnen.
Cryptomunten en frauduleuze tradingplatformen blijven een belangrijk onderdeel van de fraudemeldingen die de FSMA ontvangt. Bijna de helft van alle meldingen betreft deze categorie. Het totale aantal meldingen over verdachte activiteiten is gestegen, met 2.911 meldingen in 2025, een toename van 11 procent ten opzichte van 2024. De FSMA heeft in reactie hierop waarschuwingen verspreid over 240 frauduleuze entiteiten en 316 websites, en heeft via gerechtelijke procedures de blokkering van deze websites aangevraagd.
Om consumenten beter te beschermen tegen online fraude, is de FSMA toegetreden tot het 'Belgian Anti Phishing Shield', een initiatief van het Centrum voor Cybersecurity België (CCB). Dit samenwerkingsverband maakt het mogelijk om internetgebruikers die frauduleuze websites bezoeken, om te leiden naar een waarschuwingspagina. Deze aanpak heeft al succes geboekt. Sinds 15 mei 2025 heeft de FSMA 245 domeinnamen van frauduleuze websites ingevoerd, waardoor 22.973 internetgebruikers de waarschuwingspagina van de FSMA te zien kregen in plaats van de frauduleuze website.
De FSMA adviseert consumenten om altijd de identiteit van de aanbieder te controleren en te verifiëren of deze een vergunning heeft om financiële producten en diensten aan te bieden. De FSMA publiceert lijsten van ondernemingen met een vergunning en waarschuwingen voor ondernemingen die op onregelmatige wijze actief zijn. Ook wordt aangeraden om kritisch te zijn ten opzichte van elk aanbod, zeker als het te mooi lijkt om waar te zijn, en om nooit zomaar geld over te maken naar een buitenlandse rekening. Bij twijfel kunnen consumenten contact opnemen met de FSMA voor advies.
Bron

Er is een waarschuwing afgegeven betreffende een frauduleuze betalingsgateway die zich voordoet als de officiële gateway van PNB MetLife, een grote speler in de verzekeringssector. Deze valse gateway is ontworpen om gevoelige klantinformatie te stelen en gebruikers heimelijk om te leiden naar Unified Payments Interface (UPI)-betalingen, waardoor een aanzienlijk risico ontstaat voor klanten van PNB MetLife.
De frauduleuze gateway onderschept de betalingsgegevens van nietsvermoedende gebruikers tijdens online transacties. De gestolen informatie omvat kritieke gegevens zoals creditcardnummers, vervaldatums, CVV-codes en andere persoonlijke identificeerbare informatie (PII). Deze data wordt vervolgens misbruikt voor ongeautoriseerde transacties en andere kwaadaardige activiteiten.
Een cruciaal aspect van deze aanval is de heimelijke omleiding naar UPI-betalingen. Zonder de expliciete toestemming of medeweten van de gebruiker, manipuleert de gateway het betalingsproces om fondsen over te maken via UPI, een real-time betalingssysteem dat populair is in India. Dit stelt de aanvallers in staat om snel en efficiënt geld te verduisteren, terwijl ze de sporen van hun illegale activiteiten minimaliseren.
PNB MetLife heeft nog geen officiële verklaring afgegeven over deze specifieke dreiging, maar het is waarschijnlijk dat het bedrijf actief onderzoek doet naar de situatie en maatregelen neemt om zijn klanten te beschermen. Het is van cruciaal belang dat klanten van PNB MetLife extra waakzaam zijn bij het uitvoeren van online betalingen en de authenticiteit van de gebruikte betalingsgateway verifiëren.
Organisaties en individuen moeten zich bewust zijn van de toenemende complexiteit van online fraude. Cybercriminelen evolueren voortdurend hun tactieken en maken gebruik van geavanceerde technieken om betalingssystemen te compromitteren en gevoelige gegevens te stelen. Het is essentieel om robuuste beveiligingsmaatregelen te implementeren, waaronder multi-factor authenticatie, real-time fraudedetectiesystemen en regelmatige beveiligingsaudits, om deze dreigingen te mitigeren.
De impact van dergelijke aanvallen kan aanzienlijk zijn, niet alleen voor de rechtstreekse slachtoffers, maar ook voor de reputatie van het getroffen bedrijf. Een datalek of een succesvolle frauduleuze aanval kan leiden tot verlies van klantvertrouwen, financiële verliezen en juridische gevolgen. Daarom is het cruciaal voor organisaties om prioriteit te geven aan cybersecurity en te investeren in de nieuwste beveiligingstechnologieën en best practices.
Om zichzelf te beschermen tegen deze en soortgelijke dreigingen, wordt gebruikers aangeraden om altijd de URL van de betalingsgateway te controleren, te zorgen voor een beveiligde verbinding (HTTPS) en op te letten voor verdachte activiteiten tijdens het betalingsproces. Het is ook raadzaam om regelmatig hun bankrekeningen en creditcardafschriften te controleren op ongeautoriseerde transacties en om onmiddellijk verdachte activiteiten te melden aan hun financiële instelling.
Het incident met de valse PNB MetLife betalingsgateway dient als een herinnering aan de voortdurende noodzaak van waakzaamheid en proactieve beveiligingsmaatregelen in de online wereld. Zowel organisaties als individuen moeten zich voortdurend bewust zijn van de nieuwste dreigingen en de nodige stappen ondernemen om zichzelf te beschermen tegen cybercriminaliteit.
Bron

Het gedecentraliseerde platform voor intellectueel eigendom Unleash Protocol is getroffen door een omvangrijke digitale diefstal waarbij ongeveer 3,9 miljoen dollar aan cryptovaluta is ontvreemd. Het incident vond plaats nadat een ongeautoriseerde partij erin slaagde de controle te verkrijgen over het administratieve governance-systeem van het platform. Door deze overname van de zogenaamde multisig-bevoegdheden kon de aanvaller een niet-geautoriseerde upgrade van de smart contracts uitvoeren, wat de weg vrijmaakte voor het opnemen van activa zonder toestemming van het officiële team.

Unleash Protocol functioneert als een besturingssysteem voor het beheer van intellectueel eigendom door dit om te zetten in tokens op de blockchain. Deze tokens kunnen vervolgens binnen het ecosysteem van gedecentraliseerde financiën (DeFi) als onderpand worden gebruikt. Het platform faciliteert tevens de automatische distributie van royalty's en licentie-inkomsten via geprogrammeerde regels in smart contracts. De aanvaller maakte gebruik van de verkregen administratieve rechten om deze regels aan te passen, waardoor verschillende soorten activa konden worden weorgesluisd, waaronder wrapped IP (WIP), USDC, wrapped Ether (WETH), gestaked IP (stIP) en voting-escrowed IP (vIP).

Analyses van beveiligingsexperts van PeckShieldAlert wijzen uit dat de gestolen fondsen via externe infrastructuur zijn overgebracht naar andere adressen om de traceerbaarheid te bemoeilijken. De buitgemaakte cryptovaluta zijn uiteindelijk omgezet in 1.337 ETH en gestort in de cryptomixer Tornado Cash. Deze dienst wordt gebruikt om de herkomst van gelden te verhullen door transacties te anonimiseren via complexe versluieringsmechanismen. Hoewel Tornado Cash in het verleden te maken heeft gehad met internationale sancties, blijft de infrastructuur een instrument voor het verplaatsen van digitale activa buiten het zicht van toezichthouders.

De leiding van Unleash Protocol heeft naar aanleiding van de hack alle operaties op het platform onmiddellijk gepauzeerd. Er is een onderzoek gestart in samenwerking met externe beveiligingsspecialisten om de exacte oorzaak van de inbreuk vast te stellen en mogelijke herstelmaatregelen te verkennen. Gebruikers hebben het advies gekregen om geen interactie aan te gaan met de contracten van het protocol totdat er via de officiële kanalen een bevestiging van veiligheid is gegeven. De focus van het onderzoek ligt op de wijze waarop een extern beheerd adres de administratieve controle over de multisig-governance heeft kunnen bemachtigen.

Bron 1

De illegale handel in hoogwaardige technologie is een groeiend probleem binnen het geopolitieke speelveld tussen de Verenigde Staten en China. In de Amerikaanse staat Texas is een crimineel samenwerkingsverband ontmanteld dat zich schuldig maakte aan het smokkelen van geavanceerde Nvidia-processoren. Volgens de federale aanklagers wisten de betrokkenen tussen oktober 2024 en mei 2025 voor minstens 160 miljoen dollar aan hardware, specifiek de H100- en H200-chips, naar China te exporteren.

De werkwijze van het netwerk kenmerkte zich door fraude en misleiding. Er werd gebruikgemaakt van dekmantelbedrijven en een geheime opslaglocatie in New Jersey om de logistieke keten te verhullen. Om de strenge Amerikaanse exportcontroles te omzeilen, werden de grafische processoren voorzien van valse etiketten met de gefingeerde merknaam Sandkayan. Op de vrachtdocumenten stonden de goederen vervolgens geregistreerd als eenvoudige adapters en controllers, waarna ze via tussenstations naar Hongkong en China werden verscheept. De Amerikaanse justitie benadrukt dat deze chips cruciaal zijn voor de ontwikkeling van militaire AI-toepassingen en daarmee een direct risico vormen voor de nationale veiligheid.

Schattingen van experts wijzen erop dat de omvang van deze illegale stroom aanzienlijk is, waarbij in 2024 mogelijk tienduizenden tot honderdduizenden chips ongezien de grens overgingen. Opmerkelijk genoeg vond de ontmanteling van dit specifieke netwerk plaats op dezelfde dag dat het Amerikaanse beleid een koerswijziging onderging. De president kondigde aan dat de exportbeperkingen voor de krachtige Nvidia H200-chips worden opgeheven, mits een kwart van de omzet in China wordt afgedragen aan de Amerikaanse overheid. Deze beleidswijziging wordt door de verdediging in de strafzaak direct aangegrepen om het argument dat de chips een gevaar voor de staatsveiligheid vormen, in twijfel te trekken. Desondanks blijft de vraag naar deze rekenkracht vanuit China ook in 2026 onverminderd groot.

Bron 1

De organisatie verantwoordelijk voor de inauguratie van Zohran Mamdani, de nieuwe burgemeester van New York, heeft een officiële lijst gepubliceerd met voorwerpen die verboden zijn tijdens de ceremonie op 1 januari 2026. Opvallend in de veiligheidsvoorschriften is het specifieke verbod op twee technische apparaten: de Flipper Zero en de Raspberry Pi. Deze hardware wordt in de officiële FAQ van het evenement expliciet genoemd naast conventionele risico's zoals vuurwapens, explosieven, drones en laserpennen.

De Flipper Zero is een compact instrument dat door beveiligingsonderzoekers wordt gebruikt voor het analyseren van draadloze protocollen zoals RFID, NFC en Bluetooth. De Raspberry Pi is een veelzijdige computer op een enkele printplaat die volledige besturingssystemen kan draaien. Beide apparaten zijn populair in de cybersecurity-gemeenschap voor het uitvoeren van penetratietesten en netwerkanalyse.

Het verbod zorgt voor discussie over de effectiviteit van de maatregel. Terwijl deze twee specifieke apparaten bij naam worden geweerd, zijn laptops en smartphones niet opgenomen in de lijst van verboden voorwerpen. Deskundigen wijzen erop dat moderne smartphones en laptops, uitgerust met software zoals Kali Linux, vaak over grotere technische mogelijkheden beschikken voor digitale interventies dan de verboden hardware.

De beperkingen voor dergelijke apparaten passen in een bredere trend waarbij overheden en commerciële platforms proberen de verspreiding van "dual-use" hardware te controleren. In het verleden leidde de angst voor misbruik, zoals het kopiëren van digitale sleutels of betaalkaarten, al tot verkoopverboden op platforms zoals Amazon. De organisatie van de inauguratie heeft geen officiële verklaring gegeven voor het specifiek selecteren van deze twee apparaten uit het brede aanbod van beschikbare consumentenelektronica.

Bron 1, 2

Trust Wallet heeft bevestigd dat een supply chain aanval, toegeschreven aan de tweede iteratie van de Shai-Hulud campagne, heeft geleid tot de diefstal van ongeveer 8,5 miljoen dollar aan cryptovaluta. Bij het incident werden 2.520 wallets geleegd nadat aanvallers een kwaadaardige update van de Google Chrome-extensie hadden gepubliceerd. Uit onderzoek blijkt dat geheime inloggegevens van ontwikkelaars op GitHub waren blootgesteld, waardoor de daders toegang kregen tot de broncode en de API-sleutel van de Chrome Web Store.

Door het gebruik van deze API-sleutel konden de aanvallers het reguliere releaseproces van Trust Wallet omzeilen. Hierdoor was er geen interne goedkeuring of handmatige review nodig om een nieuwe softwareversie te uploaden. Op 24 december 2025 werd versie 2.68 van de extensie verspreid, die was voorzien van een backdoor. Deze kwaadaardige code was ontworpen om de mnemonic phrases van gebruikers te oogsten en door te sturen naar een door de aanvallers beheerd subdomein van metrics-trustwallet.

Analyses tonen aan dat de kwaadaardige code werd geactiveerd op elk moment dat een gebruiker de wallet ontgrendelde. Dit gebeurde ongeacht of de gebruiker wachtwoorden of biometrische gegevens gebruikte, en of de wallet al langere tijd in gebruik was of pas net was geopend na de update naar versie 2.68. De code was in staat om alle wallets binnen een account te scannen, waardoor gebruikers met meerdere geconfigureerde portefeuilles volledig werden gecompromitteerd. De gestolen seed phrases werden verborgen in een veld voor foutmeldingen binnen de telemetrie-data, waardoor de data-exfiltratie voor een oppervlakkige waarnemer leek op een standaard analytische gebeurtenis gericht op gebruikersstatistieken.

De infrastructuur achter de aanval werd gehost bij Stark Industries Solutions op IP-adres 138.124.70.40. Onderzoek wijst uit dat de voorbereidingen niet opportunistisch waren; de benodigde servers waren al op 8 december 2025 ingericht, ruim twee weken voordat de schadelijke update werd gepusht. Op de server werd de respons "He who controls the spice controls the universe" gevonden, een verwijzing naar de roman Dune die eerder werd waargenomen bij Shai-Hulud aanvallen binnen het npm-ecosysteem.

Na de ontdekking van de inbreuk heeft Trust Wallet gebruikers opgeroepen om direct te updaten naar versie 2.69. De gestolen activa werden verdeeld over ten minste 17 verschillende adressen die door de aanvallers worden beheerd. Het bedrijf is een proces gestart voor het indienen van vergoedingen voor gedupeerde slachtoffers, waarbij claims per geval worden beoordeeld om fraude te voorkomen. Om herhaling te voorkomen, zijn de monitoring en controles op het releaseproces aangescherpt. Volgens de officiële verklaring betrof dit een breder probleem in de toeleveringsketen waarbij kwaadaardige code via vertrouwde ontwikkelaarstools werd gedistribueerd naar verschillende sectoren.

Bron 1

De Franse regering heeft een wetsvoorstel ingediend dat het gebruik van sociale media door jongeren onder de vijftien jaar moet verbieden. Indien het parlement instemt met de voorgestelde maatregelen, zal de wetgeving in september 2026 van kracht worden. Het juridische kader bestaat uit twee centrale componenten die de digitale leefwereld van minderjarigen beïnvloeden. Enerzijds wordt het voor online platforms en sociale mediadiensten verboden om personen jonger dan vijftien jaar als gebruiker toe te laten. Anderzijds omvat het voorstel een verbod op het gebruik van mobiele telefoons binnen instellingen voor het volledige voortgezet onderwijs.

De Franse autoriteiten motiveren de wetgeving vanuit de noodzaak om jongeren te beschermen tegen diverse online risico's. Hierbij wordt specifiek verwezen naar de negatieve impact van ongepaste content, cyberpesten en de gevolgen voor de mentale gezondheid. Deze stap sluit aan bij internationale ontwikkelingen op het gebied van digitale regulering. Eind 2024 introduceerde de Australische regering reeds een vergelijkbaar verbod, waarbij technologiebedrijven verantwoordelijk worden gehouden voor de naleving via strikte leeftijdsverificatie.

De Franse president Emmanuel Macron heeft eerder gepleit voor een uniforme leeftijdsgrens van vijftien jaar binnen de gehele Europese Unie. Volgens de regering beschikken technologiebedrijven over de technische middelen om effectieve leeftijdsverificatie toe te passen. Het wetsvoorstel legt de verantwoordelijkheid voor de handhaving dan ook expliciet bij de aanbieders van de digitale diensten, die bij niet-naleving sancties riskeren.

Bron 1, 2

In de Tweede Kamer is een debat ontstaan over de risico's van Chinese componenten in de Nederlandse energie-infrastructuur. Aanleiding is een miljoenenorder van de regionale netbeheerders Alliander, Enexis en Stedin voor nieuwe slimme meters. De opdracht voor de bijbehorende meetsensoren is gegund aan het Chinese Kaifa Technology, een bedrijf waarin het staatsbedrijf China Electronics Corporation een meerderheidsbelang heeft. De kwestie is extra actueel omdat de nieuwe Energiewet sinds 1 januari 2026 van kracht is, waardoor burgers verplicht zijn hun analoge meter te vervangen door een digitaal of slim exemplaar.

Netbeheer Nederland stelt dat de aanbesteding volgens de geldende Europese richtlijnen is uitgevoerd en dat er reeds producten van deze fabrikant in gebruik zijn. Volgens de netbeheerders worden er geregeld audits uitgevoerd waarbij nooit onregelmatigheden zijn geconstateerd. Zij benadrukken dat het hier gaat om een meetsensor zonder schakelaar of ingebouwde telecommunicatietechnologie. Desondanks hebben diverse politieke partijen, waaronder D66, CDA, VVD en ChristenUnie, om opheldering gevraagd. Recent heeft ook JA21 aanvullende vragen gesteld aan de demissionair ministers Van Oosten van Justitie en Veiligheid en Hermans van Klimaat over de mogelijke gevolgen voor de nationale veiligheid en de privacy van burgers.

De Kamerleden willen onder meer weten welke specifieke onderdelen van de slimme meter uit China afkomstig zijn en welke onderdelen in Nederland of de Europese Unie worden geassembleerd. Er wordt aan de bewindslieden gevraagd of zij slimme meters beschouwen als onderdeel van de vitale infrastructuur of als kritieke ketencomponenten. Een centraal punt in de vragenstelling is of manipulatie van meetwaarden, aanvallen op de toeleveringsketen of ongeautoriseerde toegang tot meterdata volledig kan worden uitgesloten. Indien dit niet het geval is, moet de overheid duidelijk maken welke mitigatieplannen er klaarliggen om deze risico's te beperken.

Daarnaast is er aandacht voor de gedwongen acceptatie van deze meters door burgers. Nu de vervanging van analoge meters verplicht is, wordt gevraagd hoe de overheid borgt dat consumenten niet worden blootgesteld aan risico's die niet transparant zijn beoordeeld. Ook de geopolitieke afhankelijkheid is onderwerp van zorg. Er wordt gevraagd naar uitgewerkte scenario's voor het geval dat leveringen, onderhoud of updates vanuit China wegvallen door internationale spanningen. De politiek dringt aan op een kader voor vertrouwde leveranciers voor vitale energiecomponenten om de continuïteit van het netbeheer te waarborgen. De ministers hebben drie weken de tijd om op de vragen te reageren.

Bron 1

Europa is de controle over het internet kwijtgeraakt aan Amerikaanse technologiebedrijven door een grote achterstand in de ontwikkeling van digitale infrastructuur. Miguel De Bruycker, directeur van het Centrum voor Cybersecurity België, stelt dat de Europese afhankelijkheid van de Verenigde Staten de innovatie en de digitale verdediging van het continent bemoeilijkt. Volgens de cybersecurity-expert is het door de dominantie van Amerikaanse spelers op het gebied van clouddiensten en kunstmatige intelligentie momenteel onmogelijk om data volledig binnen Europese grenzen te beheren.

De huidige marktsituatie maakt Europese ambities voor volledige digitale onafhankelijkheid onrealistisch. Omdat de digitale infrastructuur vrijwel volledig in handen is van private Amerikaanse ondernemingen, is de opslag van informatie binnen de Europese Unie afhankelijk van hun diensten. Hoewel deze situatie niet direct als een acuut beveiligingsprobleem wordt aangemerkt, zorgt het er wel voor dat Europa achterblijft bij de ontwikkeling van nieuwe technologieën die essentieel zijn voor het afweren van cyberaanvallen.

De Europese regelgeving wordt genoemd als een factor die de technologische ontwikkeling mogelijk remt. Specifieke wetgeving, zoals de AI Act, zou innovatie kunnen blokkeren. Er wordt gepleit voor een koerswijziging waarbij Europese overheden private initiatieven steunen om op EU-niveau schaalvergroting te realiseren in de cloudsector en bij digitale identificatiesystemen. Een gecoördineerde aanpak, vergelijkbaar met eerdere grootschalige Europese industriële samenwerkingen, wordt noodzakelijk geacht om een eigen positie in het digitale domein op te bouwen in plaats van enkel de focus te leggen op het beperken van Amerikaanse aanbieders.

De noodzaak voor sterke digitale systemen blijkt uit de toename van hybride aanvallen in de regio. België is sinds 2022 herhaaldelijk doelwit van golven van distributed denial-of-service (DDoS)-aanvallen die worden gelinkt aan pro-Russische actoren. Deze aanvallen, die vaak volgen op politieke verklaringen vanuit Brussel, zijn erop gericht diensten van overheden en bedrijven tijdelijk onbereikbaar te maken. Ondanks de wens voor meer autonomie, spelen Amerikaanse technologiebedrijven momenteel een sleutelrol bij het ondersteunen van de verdediging en het herstel van gegevens na dergelijke incidenten. De operationele samenwerking met deze partijen blijft essentieel voor de actuele digitale veiligheid in Europa.

Bron 1

De Amerikaanse zorgverlener OrthopedicsNY heeft een schikking getroffen met de procureur-generaal van de staat New York voor een bedrag van 500.000 dollar. De aanleiding voor deze schikking is een datalek uit 2023, waarbij aanvallers via een ransomware-aanval toegang kregen tot het interne netwerk. Bij dit incident werden de onversleutelde persoonlijke gegevens van meer dan 650.000 personen ontvreemd. De toegang tot de systemen werd verkregen door middel van gestolen inloggegevens van een medewerker.

Uit het onderzoek door de autoriteiten bleek dat de beveiligingsmaatregelen van de zorgverlener op cruciale punten tekortschoten. Zo werd er geen gebruikgemaakt van multifactorauthenticatie (MFA) voor toegang op afstand en waren de patiëntgegevens niet versleuteld. Daarnaast werden er geen periodieke risico-assessments uitgevoerd om de integriteit van de systemen te controleren. Voor 110.000 getroffenen omvatte de buitgemaakte informatie gevoelige data zoals social-securitynummers, rijbewijsnummers en paspoortgegevens, terwijl voor de rest van de slachtoffers zorggerelateerde informatie werd gestolen.

Naast de boete van een half miljoen dollar moet OrthopedicsNY direct verschillende structurele verbeteringen in de informatiebeveiliging doorvoeren. De organisatie is verplicht om multifactorauthenticatie in te stellen voor alle vormen van remote toegang. Tevens moet alle data die wordt verzameld, verwerkt of verzonden voortaan worden versleuteld. Dit geldt zowel voor de gegevens van patiënten als voor de gegevens van de eigen medewerkers. De exacte wijze waarop de inloggegevens in eerste instantie door de aanvallers zijn buitgemaakt, is niet door de partijen openbaar gemaakt.

Bron 1

Onderzoek van blockchain-analist TRM Labs toont aan dat het datalek bij wachtwoordbeheerder LastPass uit 2022 nog steeds directe gevolgen heeft voor de veiligheid van cryptovaluta. Aanvallers slagen er jaren na de diefstal van de versleutelde kluisbestanden in om private sleutels te ontsleutelen en digitale portefeuilles leeg te trekken. De gestolen activa worden vervolgens witgewassen via specifieke handelsplatformen met Russische banden.

De oorzaak van de huidige diefstallen ligt bij een eerdere inbreuk waarbij back-ups van LastPass-databases werden buitgemaakt via de cloudopslagdienst GoTo. In deze kluizen stonden voor een aanzienlijk aantal gebruikers private keys en herstelzinnen van cryptowallets opgeslagen. Omdat de bestanden destijds in hun geheel zijn ontvreemd, kunnen aanvallers offline proberen de encryptie te kraken. Dit verklaart waarom de diefstallen niet onmiddellijk plaatsvonden, maar zich in golven voltrekken naarmate de aanvallers erin slagen de hoofdwachtwoorden van individuele kluizen te achterhalen.

Volgens de analyse van TRM Labs zijn de diefstallen onderdeel van een gecoördineerde campagne. De daders maken gebruik van de CoinJoin-functie binnen de Wasabi Wallet om de herkomst van de fondsen te maskeren. Door grootschalige analyse van transactiepatronen, timing en wallet-configuraties is het echter gelukt om deze gemengde transacties te identificeren. Hieruit blijkt dat er eind 2024 en begin 2025 ruim 28 miljoen dollar aan cryptovaluta is gestolen, gevolgd door een tweede golf van 7 miljoen dollar in september 2025.

De bevindingen worden ondersteund door gegevens van de Amerikaanse Secret Service, die in 2025 al beslag legde op 23 miljoen dollar aan cryptovaluta die op vergelijkbare wijze was verkregen. Uit onderzoek naar de getroffen slachtoffers bleek dat zij niet waren blootgesteld aan phishing of malware, wat de conclusie bevestigt dat de aanvallers directe toegang hadden tot de private sleutels via de in 2022 gestolen database-back-ups. De gestolen gelden worden stelselmatig verzilverd via Russische exchanges zoals Cryptex en Audi6.

Bron 1

Franse bewindslieden hebben een officiële melding ingediend bij justitie over de chatbot Grok, een product van de start-up xAI. De aanleiding voor deze juridische stap is de constatering dat de kunstmatige intelligentie seksuele en seksistische inhoud heeft gegenereerd die volgens de ministers overduidelijk als illegaal moet worden aangemerkt. De melding volgt op incidenten waarbij de chatbot afbeeldingen van schaars geklede minderjarigen produceerde na specifieke opdrachten van gebruikers.

Deze output is in strijd met de eigen gebruiksvoorwaarden van het platform, waarin de seksualisering van kinderen uitdrukkelijk wordt verboden. De ontwikkelaar van de chatbot heeft publiekelijk erkend dat er sprake was van tekortkomingen in de beveiliging en heeft aangegeven dat de betreffende beelden zijn verwijderd. Er wordt momenteel gewerkt aan technische aanpassingen om de geïdentificeerde gebreken in de guardrails van het AI-model te verhelpen.

Naast de gang naar justitie is de Franse mediatoezichthouder Arcom ingeschakeld om te onderzoeken of er sprake is van een overtreding van de Europese Digital Services Act. Dit wettelijke kader bepaalt dat feiten die offline strafbaar zijn, ook in de digitale ruimte als strafbaar worden beschouwd. De toezichthouder moet vaststellen of het platform voldoende maatregelen heeft getroffen tegen de verspreiding van illegale inhoud en of de grondrechten van gebruikers door de gegenereerde content in het geding zijn gekomen.

De juridische procedure in Frankrijk benadrukt de groeiende aandacht van Europese lidstaten voor de verantwoordelijkheid van aanbieders van generatieve AI. De handhaving richt zich hierbij specifiek op de naleving van de strikte kaders die binnen de Europese Unie gelden voor online veiligheid en het bestrijden van de verspreiding van verboden materiaal via algoritmes.

Bron 1

De globale infrastructuur van cybercriminaliteit vertoont een toenemende mate van professionalisering waarbij technologische vooruitgang en menselijke exploitatie samenkomen. Hoewel kunstmatige intelligentie een centrale rol speelt in het versnellen en verfijnen van digitale aanvallen, blijft de inzet van dwangarbeid een fundamentele pijler onder de huidige operaties van criminele netwerken. Deze synergie tussen geavanceerde algoritmen en gedwongen menselijke arbeid verhoogt de slagkracht en het gevaar van internationale cybercampagnes aanzienlijk.

Kunstmatige intelligentie wordt binnen dit ecosysteem aangewend om processen te automatiseren die voorheen een hoge mate van handmatige inspanning vereisten. Het versnelt de ontwikkeling van kwaadaardige software en stelt actoren in staat om op grote schaal gepersonaliseerde en overtuigende fraudesystemen op te zetten. Deze technologische versnelling zorgt ervoor dat de drempel voor complexe aanvallen wordt verlaagd, terwijl de intensiteit en de frequentie van de dreigingen toenemen. De efficiëntie die hiermee wordt bereikt, stelt criminele organisaties in staat om hun bereik wereldwijd uit te breiden.

Parallel aan deze digitale innovatie vindt op grote schaal menselijke uitbuiting plaats in de vorm van gedwongen arbeid. In diverse regio's worden individuen onder valse voorwendselen vastgehouden in fraudecomplexen om daar ondersteunende taken te verrichten voor cyberaanvallen. Deze werkzaamheden variëren van het voeren van langdurige interacties voor beleggingsfraude tot het uitvoeren van repetitieve digitale handelingen die noodzakelijk zijn voor het slagen van criminele operaties. De inzet van deze kwetsbare groepen fungeert als een goedkope en schaalbare factor binnen het criminele bedrijfsmodel.

De integratie van AI in deze netwerken maakt de uitvoering van cybercriminaliteit niet alleen gevaarlijker, maar ook complexer om te bestrijden. De combinatie van technologische automatisering en de fysieke aanwezigheid van gedwongen arbeidskrachten creëert een hybride dreigingsvorm. Hierdoor is cybercriminaliteit geëvolueerd tot een industrie waarbij de grenzen tussen digitale fraude en ernstige mensenrechtenschendingen vervagen. De voortdurende professionalisering van deze structuren wijst op een verschuiving waarbij criminele netwerken steeds meer opereren volgens efficiënte, industriële maatstaven.

Bron 1

De cybersecuritysector wordt momenteel geconfronteerd met tegenstrijdige berichten over een vermeende inbreuk bij het beveiligingsbedrijf Resecurity. Een collectief dat opereert onder de naam Scattered Lapsus$ Hunters claimt volledige toegang te hebben verkregen tot de interne systemen van de firma. De groep verspreidde via Telegram diverse screenshots die volgens hen bewijzen dat zij gevoelige informatie hebben ontvreemd, waaronder werknemersgegevens, interne chatberichten en klantlijsten. De aanvallers presenteren de actie als een vergelding voor eerdere pogingen van Resecurity om hun identiteit te achterhalen via social engineering.

Resecurity weerspreekt deze claims echter resoluut en stelt dat de aanvallers in een zorgvuldig opgezette val zijn gelopen. Volgens het bedrijf werden de eerste verkenningsactiviteiten van de hackers al op 21 november 2025 gedetecteerd. In plaats van de toegang direct te blokkeren, koos het forensische team ervoor om een honeypot in te richten. Dit is een geïsoleerde en gemonitorde omgeving die speciaal is ontworpen om aanvallers aan te trekken en hun werkwijze te bestuderen zonder dat de werkelijke productie-infrastructuur of echte klantgegevens gevaar lopen.

Om de geloofwaardigheid van de valstrik te waarborgen, maakte Resecurity gebruik van synthetische datasets. Deze kunstmatige gegevens bevatten onder meer tienduizenden neprecords van consumenten en bijna tweehonderdduizend fictieve betalingstransacties, opgesteld in het gangbare format van betaalverwerker Stripe. De screenshots die de hackers als bewijs aanvoeren, zijn volgens het beveiligingsbedrijf afkomstig uit deze gecontroleerde omgeving en bevatten dus geen authentieke bedrijfsgeheimen of persoonsgegevens van cliënten.

Tijdens de observatieperiode slaagde Resecurity erin om gedetailleerde telemetrie te verzamelen over de infrastructuur van de aanvallers. Door incidentele fouten in de operationele beveiliging van de hackers, zoals haperende proxy-verbindingen, konden hun werkelijke IP-adressen worden achterhaald. De verzamelde inlichtingen over de aanvalsmethoden en de gebruikte servers zijn inmiddels overgedragen aan internationale opsporingsdiensten. Een partnerorganisatie binnen de rechtshandhaving heeft op basis van deze gegevens reeds een dagvaarding uitgevaardigd. Hoewel de hackersgroep vasthoudt aan hun oorspronkelijke verhaal en nieuwe onthullingen belooft, lijkt de impact van de actie beperkt te zijn gebleven tot de door Resecurity opgezette misleidingsomgeving.

Bron 1

De Amerikaanse zorgorganisatie Covenant Health heeft bevestigd dat een datalek uit mei vorig jaar de persoonlijke en medische gegevens van 478.188 personen heeft getroffen. De organisatie, gevestigd in Andover, Massachusetts, biedt zorgdiensten aan in diverse staten, waaronder Massachusetts, Maine, New Hampshire en Pennsylvania. Hoewel in juli 2025 nog werd gerapporteerd dat het incident beperkt bleef tot 7.864 personen, wijst een recent afgerond forensisch onderzoek uit dat de werkelijke omvang aanzienlijk groter is.

Het incident begon op 18 mei 2025, waarna op 26 mei ongebruikelijke activiteiten op het netwerk werden gedetecteerd. De aanval is opgeëist door de ransomwaregroepering Qilin. Deze groep claimt 852 GB aan gegevens te hebben ontvreemd, bestaande uit circa 1,35 miljoen bestanden. Uit de geanalyseerde data blijkt dat onbevoegden toegang hebben gekregen tot namen, adresgegevens, geboortedata en Social Security-nummers. Daarnaast zijn ook medische dossiernummers, zorgverzekeringsinformatie en details over behandelingen, zoals diagnoses en behandeldata, geëxponeerd.

Covenant Health heeft externe cybersecurity-experts ingeschakeld om de inbreuk te onderzoeken en de systemen te beveiligen. Op 31 december 2025 is een officiële melding van de definitieve omvang gedaan bij de toezichthouders. De organisatie biedt de betrokkenen ondersteuning aan in de vorm van diensten voor identiteitsbescherming. Dit incident illustreert hoe de volledige impact van ransomware-aanvallen in de zorgsector vaak pas na maandenlang onderzoek volledig in kaart kan worden gebracht.

Bron 1

De snelle ontwikkeling van kunstmatige intelligentie zorgt voor een fundamentele discussie over de definitie van intelligentie zelf. Max Louwerse, hoogleraar Cognitieve Psychologie en Kunstmatige Intelligentie, stelt dat er sprake is van een patroon waarbij de mens de criteria voor intelligentie verzwaart op het moment dat een AI-model een gesteld doel bereikt. Dit fenomeen zorgt ervoor dat de lat voor AI-systemen voortdurend hoger komt te liggen, wat een objectieve beoordeling van de technologische vooruitgang bemoeilijkt.

In de geschiedenis van de computerwetenschap zijn diverse mijlpalen achteraf geherdefinieerd. In 1956 werd het verslaan van een schaakgrootmeester beschouwd als een harde grens voor machinale intelligentie. Nadat computers dit niveau bereikten, werd de maatstaf verlegd naar het bordspel Go, en later naar complexe fysieke taken zoals autonoom rijden in ongestructureerde omgevingen. Deze verschuivende grenzen zijn ook zichtbaar in de psychologie, waar het concept van een enkelvoudige intelligentie is uitgebreid naar meervoudige intelligenties, waaronder sociale en emotionele vaardigheden.

Bij de huidige generatie Large Language Models (LLM's) doet zich een specifieke discussie voor omtrent hallucinaties en confabulaties. Hoewel gebruikers dit vaak interpreteren als een technisch defect, is dit gedrag wetenschappelijk gezien juist een eigenschap die ook bij de menselijke cognitie voorkomt. De eis dat een AI-systeem uitsluitend feitelijk correcte informatie mag produceren om als intelligent te worden beschouwd, betekent in de praktijk dat het systeem aan striktere normen moet voldoen dan het menselijk brein.

Een kritiekpunt op de huidige AI-capaciteiten is het gebrek aan werkelijke innovatie bij het ontstaan van cultuurbepalende werken. Omdat modellen getraind worden op bestaande datasets en historische informatie, hebben zij moeite met het produceren van output die radicaal afwijkt van de gevestigde normen. Voorstanders van de menselijke maatstaf wijzen erop dat baanbrekende creaties vaak succesvol zijn juist omdát ze buiten de bestaande patronen vallen die in trainingsdata aanwezig zijn.

Desondanks is de feitelijke output van moderne AI-systemen op veel gebieden inmiddels kwalitatief gelijkwaardig aan menselijke resultaten. De erkenning van deze prestaties als 'intelligent' blijft echter afhankelijk van menselijke parameters zoals de aanwezigheid van bewustzijn of eigen initiatief. Omdat deze begrippen zelf aan verandering onderhevig zijn, blijft de status van kunstmatige intelligentie een variabel gegeven binnen de wetenschappelijke en maatschappelijke context.

Bron 1

Tijdens het 39e Chaos Communication Congress in Hamburg is gedetailleerde informatie naar buiten gebracht over een grootschalige data-inbraak bij de platforms WhiteDate, WhiteChild en WhiteDeal. Een onderzoeker met het pseudoniem Martha Root heeft de databases van deze websites volledig gewist na eerst 100 gigabyte aan gevoelige informatie te hebben onttrokken. De actie vond plaats via een live demonstratie waarbij de kwetsbaarheid van de gebruikte serverinfrastructuur centraal stond.

De toegang tot de gegevens werd verkregen via slecht beveiligde WordPress-installaties. Volgens de technische toelichting faalden de beheerders in het beperken van bot-verkeer en het afschermen van administratieve mappen. Hierdoor kon de onderzoeker ongedetecteerd de backend infiltreren. Om de dataverzameling te versnellen, werd gebruikgemaakt van een aangepaste AI-chatbot. Deze bot voerde geautomatiseerde interacties met gebruikers om aanvullende persoonlijke gegevens te extraheren voordat de systemen offline werden gehaald.

Het datalek betreft de gegevens van ruim 8.000 gebruikers. De buitgemaakte dataset bevat profielinformatie, privégesprekken en administratieve logbestanden. Een kritiek punt bij de data-extractie was de aanwezigheid van metadata in geüploade afbeeldingen. In diverse gevallen bevatten deze foto's GPS-coördinaten, waardoor de fysieke locatie van gebruikers direct herleidbaar werd. Daarnaast bleek uit analyse dat veel betrokkenen identieke gebruikersnamen of e-mailpatronen gebruikten op andere sociale mediaplatforms, wat de anonimiteit van de profielen verder ondergraaft.

De onttrokken informatie is inmiddels ondergebracht bij de transparantieorganisatie Distributed Denial of Secrets (DDoSecrets). Voor publieke inzage is een aparte website gelanceerd onder de naam okstupid.lol, waar een deel van de profielen geanonimiseerd en op een interactieve kaart wordt weergegeven. De oorspronkelijke websites zijn sinds de ingreep onbereikbaar en vertonen uitsluitend serverfouten. Er is tot op heden geen verklaring afgegeven door de eigenaren van de getroffen infrastructuur.

Bron 1

De Amerikaanse glasvezelprovider Brightspeed is het doelwit geworden van een grootschalige cyberaanval waarbij de systemen van de organisatie zijn gecompromitteerd. De dreigingsgroep Crimson Collective heeft de verantwoordelijkheid voor de aanval opgeëist en stelt gevoelige gegevens van zowel klanten als medewerkers te hebben ontvreemd. Brightspeed beheert een uitgebreide breedbandinfrastructuur in twintig Amerikaanse staten en heeft een bereik van circa 7,3 miljoen aansluitingen, wat de ernst van de inbreuk op deze kritieke infrastructuur onderstreept.

De aanvallers verkregen ongeautoriseerde toegang tot het netwerk en hebben daar persoonlijk identificeerbare informatie buitgemaakt. Om de bewijslast van de inbreuk te staven, heeft de groep monsters van de gestolen data gedeeld met cybersecurity-onderzoekers. Deze handelwijze, waarbij direct bewijs van de diefstal publiekelijk wordt gemaakt, is een strategie die door dreigingsactoren wordt ingezet om de druk op de getroffen organisatie maximaal op te voeren.

Onderzoek naar de methode van de aanval duidt op het gebruik van bekende infectievectoren. De groep maakt doorgaans gebruik van phishing-campagnes gericht op het onderscheppen van inloggegevens, het exploiteren van ongepatchte kwetsbaarheden in applicaties die aan het internet zijn blootgesteld, of het binnendringen via de toeleveringsketen van externe dienstverleners met netwerktoegang. Na de initiële toegang hebben de actoren zich binnen het netwerk bewogen om hun rechten te verhogen en toegang te krijgen tot systemen waarin de meest waardevolle data zijn opgeslagen.

Dit incident past in een bredere trend waarin telecommunicatie- en internetproviders doelwit zijn van geavanceerde cyberaanvallen. Het compromitteren van een infrastructuurleverancier biedt aanvallers niet alleen toegang tot de gegevens van de provider zelf, maar creëert ook mogelijkheden om door te dringen tot de communicatie en systemen van de achterliggende klanten.

De diefstal benadrukt het belang van robuuste beveiligingsmaatregelen voor organisaties die vitale infrastructuur beheren. Cruciale stappen in de verdediging tegen dergelijke aanvallen omvatten het toepassen van multifactorauthenticatie op alle niveaus, een strikt beleid voor het tijdig dichten van beveiligingslekken en het monitoren van netwerkverkeer op onregelmatigheden die kunnen wijzen op data-exfiltratie.

Bron 1

De serverinfrastructuur van het computerspel Rainbow Six Siege is begin januari 2026 opnieuw getroffen door een omvangrijke inbreuk. Deze cyberaanval heeft geleid tot aanzienlijke operationele problemen, waaronder het blokkeren van spelersaccounts door middel van willekeurige verbanningen met een duur van exact 67 dagen. Daarnaast treden er grootschalige fouten op bij de synchronisatie van gegevens, wat resulteert in een volledige uitsluiting van de toegang tot het platform en de bijbehorende gebruikersprofielen voor een aanzienlijk deel van de spelersgroep.

Dit incident volgt op een eerdere beveiligingsinbreuk die eind december 2025 plaatsvond. Tijdens die aanval slaagden ongeautoriseerde actoren erin door te dringen tot de backend-systemen van ontwikkelaar Ubisoft. De ernst van deze infiltratie dwong de organisatie destijds tot een volledige stillegging van de dienstverlening en de in-game marktplaats. Gedurende deze periode vond er grootschalige manipulatie van de databases plaats, waarbij spelersaccounts werden gecrediteerd met miljarden eenheden aan in-game valuta en toegang kregen tot exclusieve digitale objecten en skins die normaliter uitsluitend voorbehouden zijn aan personeel van de ontwikkelaar. Tevens werden moderatiesystemen gekaapt om onjuiste meldingen te verspreiden en accounts willekeurig te verbannen of juist te deblokkeren.

Hoewel de uitgever op 27 december 2025 melding maakte van een algehele storing en vervolgens transacties heeft teruggedraaid, duiden de herhaalde incidenten in januari 2026 op een aanhoudend verlies van controle over de backend-systemen. Cybersecurity-experts wijzen hierbij op het misbruik van een kritiek lek in de database-architectuur, bekend als de MongoBleed-kwetsbaarheid. De situatie wordt geclassificeerd als een bevestigd geval van cybercriminaliteit binnen de gamingsector waarbij de integriteit van centrale systemen en gebruikersdata direct is aangetast. Het onderzoek naar de volledige omvang van de gecompromitteerde infrastructuur duurt voort.

In het eerste weekend van januari 2026 is melding gemaakt van een significant datalek waarbij de medische gegevens van meer dan 150.000 patiënten openbaar zijn geworden. De gecompromitteerde datasets zijn afkomstig van het private ziekenhuis Miotte en een oogheelkundige praktijk in de Franse gemeente Sallanches. Beide zorginstellingen maken voor hun patiëntenadministratie en afsprakenbeheer gebruik van het digitale platform Doctolib. De ontvreemde dossiers, die momenteel circuleren op het dark web, bevatten gevoelige informatie over patiënten en hun behandelingen.

Doctolib, een prominente speler op de Europese markt voor e-health en afsprakenbeheer, heeft in een reactie tegenover tech-nieuwsplatform 01net met klem ontkend dat de data afkomstig is van hun servers. Volgens de woordvoering van het bedrijf is er geen sprake van een inbreuk op de centrale infrastructuur. Hiermee wordt geïmpliceerd dat de kwetsbaarheid zich waarschijnlijk bevindt in de lokale IT-omgevingen van de getroffen zorgverleners of bij derden met geautoriseerde toegang tot deze systemen.

De situatie legt een pijnpunt bloot binnen de digitalisering van de zorg: de afhankelijkheid van externe SaaS-oplossingen en de complexe verantwoordelijkheidsverdeling rondom data-integriteit. Hoewel de softwareleverancier stelt dat hun beveiliging niet is doorbroken, zijn de patiëntgegevens van de aangesloten instellingen wel degelijk geëxfiltreerd en verhandelbaar geworden. Experts wijzen erop dat dergelijke incidenten vaak het gevolg zijn van gecompromitteerde eindpunten of phishing-aanvallen gericht op individuele zorgmedewerkers, in plaats van een directe hack op de centrale database van de dienstverlener.

Bron 1

De Europese Commissie heeft op 19 november het pakket maatregelen Digital Omnibus gepresenteerd. Dit initiatief is gericht op de vereenvoudiging van de Algemene verordening gegevensbescherming (AVG). Volgens de Commissie zijn de aanpassingen noodzakelijk om de administratieve druk op het bedrijfsleven te verlagen, de Europese concurrentiepositie te verstevigen en de achterstand op de Verenigde Staten en China op het gebied van kunstmatige intelligentie (AI) te verkleinen. De Belgische consumentenorganisatie Test Aankoop heeft echter publiekelijk de noodklok geluid over de mogelijke negatieve gevolgen voor de privacybescherming van burgers.

Een essentieel onderdeel van het voorstel betreft de juridische grondslag voor het trainen van AI-modellen. Waar momenteel expliciete toestemming van de gebruiker het uitgangspunt is, stelt de Digital Omnibus voor dat technologiebedrijven zich kunnen beroepen op een gerechtvaardigd belang. Dit zou het mogelijk maken om persoonsgegevens zonder voorafgaande toestemming te gebruiken voor AI-training. Test Aankoop signaleert dat deze verschuiving de individuele controle over persoonlijke data aanzienlijk kan inperken.

Daarnaast bevat de Digital Omnibus voorstellen om de implementatie van bepaalde onderdelen van de Europese AI Act te vertragen. Voor specifieke systemen die als hoog-risico-AI zijn geclassificeerd, wordt een overgangstermijn tot 2028 beoogd. Tevens wordt voorgesteld om bepaalde transparantie-eisen te versoepelen, zoals het schrappen van de verplichting om dergelijke systemen te registreren in een centrale Europese databank. Het toezicht op deze ontwikkelingen zou worden gecentraliseerd bij het Europese AI-kantoor.

De herziening heeft ook betrekking op de regelgeving rondom cookiebanners en digitale trackers. De Europese Commissie streeft naar een systeem waarbij gebruikers hun voorkeuren eenmalig kunnen instellen via hun webbrowser of besturingssysteem. Hoewel dit bedoeld is om de gebruiksvriendelijkheid te verhogen, waarschuwt de consumentenorganisatie voor een scenario waarbij het uitblijven van een expliciete weigering wordt geïnterpreteerd als toestemming. Daarnaast zouden zogenoemde laag-risico trackers voor doelgroepmetingen onder het nieuwe voorstel geen voorafgaande toestemming meer vereisen.

Test Aankoop stelt dat de voorgestelde maatregelen kunnen leiden tot een structurele vermindering van de controle die burgers hebben over hun gegevens. De organisatie wijst erop dat de transparantie over AI-systemen die impact hebben op het dagelijks leven door deze wijzigingen onder druk komt te staan. Het risico dat stilzwijgen als toestemming wordt beschouwd, vormt een kernpunt in de kritiek op het voorstel.

Bron 1

De Amerikaanse glasvezelprovider Brightspeed voert momenteel een onderzoek uit naar beweringen van de hackersgroep Crimson Collective over een ernstig beveiligingsincident. De afpersingsgroep claimt gevoelige informatie te hebben gestolen van meer dan een miljoen klanten van de internetprovider. Brightspeed, een provider die sinds 2022 diensten verleent aan rurale en suburbane gemeenschappen in twintig Amerikaanse staten, heeft bevestigd dat zij op de hoogte zijn van de rapportages over een cybersecurity-event en de situatie momenteel onderzoeken.

De verklaring van het bedrijf volgt op een bericht van Crimson Collective waarin zij verklaren de beschikking te hebben over een omvangrijke hoeveelheid data. Volgens de dreigingsactoren bevatten de gestolen bestanden onder meer persoonlijk identificeerbare informatie, accountgegevens, adresgegevens en gebruikersinformatie gekoppeld aan sessie-ID's, waaronder namen, e-mailadressen en telefoonnummers. De hackers claimen daarnaast toegang te hebben tot betalingsgeschiedenissen, beperkte informatie over betaalkaarten en ordergegevens van klanten. De groep dreigde een steekproef van de data openbaar te maken indien de provider niet tijdig op hun eisen zou reageren.

De betrokken hackersgroep is eerder verantwoordelijk gehouden voor andere significante incidenten. In oktober vorig jaar claimde Crimson Collective een inbreuk op een GitLab-instantie van Red Hat, waarbij ongeveer 570GB aan data uit 28.000 interne development-repositories werd ontvreemd. Bij dat incident werd samengewerkt met andere collectieven en werd een extern datalekstation gebruikt voor afpersingspogingen. In december werd bevestigd dat bij de inbreuk op Red Hat ook de persoonlijke gegevens van ongeveer 21.000 klanten van Nissan betrokken waren, waaronder namen, fysieke adressen, telefoonnummers en e-mailadressen.

Naast aanvallen op bedrijfsnetwerken heeft Crimson Collective zich gericht op AWS-cloudomgevingen. Hierbij maken zij gebruik van blootgestelde inloggegevens en creëren zij malafide Identity and Access Management-accounts om toegangsrechten te escaleren en data te stelen. Brightspeed heeft verklaard de beveiliging van hun netwerken en de bescherming van klant- en medewerkersgegevens serieus te nemen. Het bedrijf houdt de autoriteiten en betrokkenen op de hoogte naarmate het onderzoek vordert en er meer feiten over de omvang van de inbreuk naar voren komen.

Bron 1

De wereldwijde organisatie Sedgwick, gespecialiseerd in schadebeheer en risicomanagement, heeft bevestigd dat haar dochteronderneming Sedgwick Government Solutions slachtoffer is geworden van een beveiligingsincident. De onderneming heeft aangegeven dat het incident specifiek de tak voor Amerikaanse overheidsopdrachten betreft en dat de netwerken van het moederbedrijf niet zijn aangetast. Sedgwick is een internationale speler met meer dan 33.000 werknemers en bedient klanten in tachtig landen, waaronder een aanzienlijk deel van de Fortune 500-bedrijven.

Het getroffen onderdeel, Sedgwick Government Solutions, levert diensten aan meer dan twintig Amerikaanse overheidsinstanties. Tot de klantenkring behoren diverse federale agentschappen, waaronder het Cybersecurity and Infrastructure Security Agency (CISA), het Department of Commerce, de United States Citizenship and Immigration Services (USCIS), de United States Coast Guard en het Department of Homeland Security (DHS).

Naar aanleiding van de ontdekking van het incident is een onderzoek gestart. Een woordvoerder van het bedrijf heeft verklaard dat de wetshandhaving op de hoogte is gesteld en dat externe cybersecurity-experts zijn ingeschakeld om de omvang van de inbreuk vast te stellen. Volgens de verklaring heeft het incident betrekking op een geïsoleerd systeem voor bestandsoverdracht. De woordvoerder benadrukte dat de overheidsdivisie operationeel gescheiden is van de overige bedrijfsactiviteiten, waardoor er geen bredere systemen of gegevens van de Sedgwick-groep geraakt zijn. Er is tot op heden geen bewijs gevonden dat de servers voor claimbeheer toegankelijk zijn geweest voor onbevoegden. De dienstverlening aan cliënten zou niet zijn onderbroken.

Hoewel Sedgwick de aanval niet formeel heeft toegeschreven aan een specifieke dadergroep, komt de bevestiging van het incident overeen met claims van de ransomwaregroep TridentLocker. Deze groepering heeft de verantwoordelijkheid voor de aanval opgeëist en stelt 3,39 gigabyte aan documenten te hebben ontvreemd. Een deel van deze data is door de aanvallers inmiddels gepubliceerd op hun datalek-website op het Tor-netwerk.

TridentLocker is een relatief nieuwe groepering die sinds november 2025 actief is. De groep is eerder in verband gebracht met een beveiligingsincident bij het Belgische postbedrijf Bpost. Bij dat incident, dat op 3 december werd bevestigd, werd vastgesteld dat het netwerk was binnengedrongen, hoewel de operationele postbezorging destijds niet werd verstoord. Sedgwick blijft in contact met zijn cliënten terwijl het onderzoek naar de toedracht en de exacte gevolgen van de inbreuk bij de dochteronderneming wordt voortgezet.

Naar aanleiding van een online gepubliceerde dataset die zou toebehoren aan een Salesforce-ontwikkelserver van NordVPN, heeft het bedrijf een onderzoek uitgevoerd naar de oorsprong van deze gegevens. Uit de resultaten blijkt dat er geen sprake is van een inbreuk op de interne productie-infrastructuur of de eigen Salesforce-omgeving van de organisatie. De provider stelt vast dat de geplaatste informatie niet afkomstig is van hun eigen systemen.

De geanalyseerde data is volgens NordVPN herleidbaar naar een geïsoleerde testomgeving van een externe partij. De provider maakte voor een korte periode gebruik van een proefabonnement op dit platform voor het uitvoeren van functionele controles. De gelekte gegevens, waaronder databaseschema’s en API-tabellen, bevatten uitsluitend dummygegevens die voor deze tests zijn ingezet. Er zijn geen werkelijke klantgegevens, broncodes of actieve inloggegevens naar dit externe platform geüpload.

De betreffende testomgeving is na de proefperiode niet meer door de provider gebruikt en is volgens het bedrijf nooit gekoppeld geweest aan hun operationele netwerken. Hoewel de organisatie concludeert dat de gelekte informatie geen gevoelige bedrijfs- of gebruikersinformatie bevat, is er contact opgenomen met de bewuste leverancier om de exacte toedracht van de publicatie te achterhalen.

Bron 1

De Higham Lane School in het Britse Nuneaton heeft de deuren tijdelijk moeten sluiten als direct gevolg van een cyberaanval. De onderwijsinstelling, die onderwijs biedt aan ongeveer 1.500 leerlingen tussen de elf en achttien jaar, besloot de IT-systemen volledig offline te halen om de omvang van het incident te beperken. Deze ingreep was volgens de schoolleiding noodzakelijk omdat kritieke digitale diensten, waaronder telefoonlijnen, e-mailservers en het leerlingvolgsysteem, volledig onbruikbaar zijn geworden.

De sluiting van de fysieke locatie begon op maandag 5 januari, de eerste schooldag na de kerstvakantie. Hoewel aanvankelijk werd gehoopt op een snelle heropening, heeft de school op 6 januari laten weten dat de deuren de rest van de week gesloten blijven. De directie streeft nu naar een gefaseerde terugkeer van leerlingen vanaf maandag 12 januari. Het besluit is genomen na overleg met het Cyber Incident Response Team van het Britse ministerie van Onderwijs en IT-experts van de Central England Academy Trust.

Zolang het forensisch onderzoek loopt, geldt er een strikt protocol. Leerlingen en medewerkers hebben de dringende instructie gekregen om niet in te loggen op centrale schoolsystemen zoals SharePoint en Google Classroom. Ook het gebruik van schoolapparatuur is niet toegestaan. Deze maatregelen zijn genomen om de integriteit van het netwerk te bewaken terwijl externe specialisten werken aan het veilige herstel van de systemen.

Er is op dit moment geen gedetailleerde informatie vrijgegeven over de specifieke aard van de aanval of een eventuele claim door een ransomware-groep. De school heeft de relevante autoriteiten, waaronder de Information Commissioner's Office (ICO), op de hoogte gesteld. Of er persoonsgegevens van leerlingen of personeel zijn gecompromitteerd, wordt momenteel onderzocht. De schoolorganisatie deelt updates zodra er meer duidelijkheid is over de technische oorzaak en de omvang van de databreuk.

Bron 1

Nederlandse gebruikers van Instagram en Facebook hebben sinds kort de mogelijkheid om permanent te kiezen voor een tijdlijn waarop uitsluitend berichten verschijnen van accounts die zij zelf volgen. Deze aanpassing is door moederbedrijf Meta doorgevoerd na een gerechtelijk bevel in een zaak die was aangespannen door burgerrechtenorganisatie Bits of Freedom. Indien Meta ook in het aanstaande hoger beroep in het ongelijk wordt gesteld, kan deze uitspraak gevolgen hebben voor de inrichting van sociale mediaplatforms in de gehele Europese Unie.

De kern van de wijziging betreft de technische opslag van gebruikersvoorkeuren. Voorheen bood Meta wel de optie om een chronologische tijdlijn te bekijken met enkel gevolgde accounts, maar deze instelling werd niet onthouden zodra de applicatie werd afgesloten. Bij een volgende sessie kreeg de gebruiker automatisch weer de algoritmische tijdlijn voorgeschoteld. Door de uitspraak van de voorzieningenrechter blijven de voorkeuren van de gebruiker nu behouden. Gebruikers kunnen via de interface wisselen tussen de algoritmische weergave en de chronologische weergave, waarbij de laatstgekozen optie actief blijft bij hernieuwd bezoek.

Meta hanteert standaard een sterke voorkeur voor de algoritmische tijdlijn, waarin ook content wordt getoond van accounts die de gebruiker niet volgt. Het algoritme selecteert deze berichten op basis van veronderstelde persoonlijke voorkeuren. Bits of Freedom stelde in de rechtszaal dat de dominantie van het algoritme de perceptie van gebruikers onbedoeld kan beïnvloeden. Als illustratie voerde de organisatie aan dat iemand die via het algoritme veelvuldig beelden van geweld in de eigen omgeving ziet, de situatie als onveiliger kan ervaren dan de werkelijkheid rechtvaardigt. De inzet van de rechtszaak was niet het verwijderen van het algoritme, maar het afdwingen van meer gebruikerscontrole over de informatiestroom.

Het techbedrijf kreeg tot eind vorig jaar de tijd om de applicaties aan te passen. Hoewel Meta aangeeft het fundamenteel oneens te zijn met het besluit, is er grotendeels gehoor gegeven aan de eisen. Bits of Freedom merkt op dat de keuzevrijheid binnen het onderdeel Facebook Reels nog lijkt te ontbreken, maar beschouwt de huidige implementatie als een significante verschuiving van de macht van het platform naar de eindgebruiker.

De juridische grondslag voor de rechtszaak ligt in de Europese Digital Services Act (DSA), wetgeving die Europese burgers online beter moet beschermen. Meta betwist de gevolgde procedure. Volgens een woordvoerder van het bedrijf is handhaving van de DSA een exclusieve bevoegdheid van de Europese Commissie en niet van een Nederlandse voorzieningenrechter. Meta heeft daarom hoger beroep aangetekend. Bits of Freedom beschouwt dit hoger beroep als een vertragingstactiek en stelt dat de DSA ruimte laat voor civiele acties naast het toezicht door de Europese Commissie.

De impact van deze zaak beperkt zich vooralsnog tot de Nederlandse versies van de diensten. Mocht de burgerrechtenorganisatie in hoger beroep opnieuw in het gelijk worden gesteld, dan zullen de aanpassingen waarschijnlijk in alle EU-lidstaten moeten worden doorgevoerd. Bits of Freedom heeft aangegeven in dat geval samenwerking te zoeken met organisaties in andere lidstaten of de Europese Commissie te benaderen om brede naleving af te dwingen. Het hoger beroep dient op 26 januari, waarna de uitspraak enkele weken later wordt verwacht.

Bron 1

De recente golf van ontslagen en reorganisaties binnen het bedrijfsleven wordt dikwijls publiekelijk toegeschreven aan de opkomst van kunstmatige intelligentie, maar in de praktijk blijkt dit argument vaak een gelegenheidsmotief te zijn. Geert-Jan Waasdorp, directeur van Intelligence Group, stelt dat veel organisaties het gebruik van AI aanvoeren om een modern en professioneel imago uit te stralen, terwijl zij in werkelijkheid nog nauwelijks zijn gestart met de formele implementatie van dergelijke technologieën, zoals Copilot. Hoewel er binnen specifieke sectoren zoals klantenservice en communicatie veranderingen zichtbaar zijn, leiden deze ontwikkelingen daar vaak ook tot de creatie van nieuwe taken in plaats van enkel het verdwijnen van werkgelegenheid.

De stijging van het aantal werknemers dat in 2025 hun baan verloor, vindt zijn oorsprong primair in de beheersing van personeelskosten en het feit dat veel werkgevers een overschot aan personeel hadden opgebouwd. Er zijn momenteel meer aanwijzingen dat kunstmatige intelligentie per saldo banen creëert dan dat het deze op grote schaal consumeert. Cijfers uit de Verenigde Staten ondersteunen dit beeld door aan te tonen dat de vraag naar personeel in beroepsgroepen die theoretisch het meest kwetsbaar zijn voor automatisering, momenteel groter is dan twee jaar geleden.

De aard van het werk ondergaat wel een transformatie, wat direct merkbaar is voor beroepsgroepen zoals vertalers en softwareontwikkelaars. Zij ervaren concurrentie van AI-hulpmiddelen, maar dit betekent niet noodzakelijkerwijs dat hun rol op de arbeidsmarkt verdwijnt. Voor professionals die in staat zijn deze nieuwe technologieën te integreren in hun werkzaamheden, blijven er voldoende mogelijkheden bestaan. De uitdaging ligt bij degenen die vasthouden aan traditionele werkmethoden en zich niet aanpassen aan de veranderende technologische context. De huidige arbeidsmarkt laat zien dat de vraag naar expertise blijft bestaan, al verandert de specifieke invulling van de functies en de vereiste competenties.

Bron 1

De Delftse chipontwerper Qualinx heeft twintig miljoen euro opgehaald voor de productie van een nieuwe draadloze communicatiechip. De financiering is afkomstig van Nederlandse investeerders, waarbij Invest-NL tien miljoen euro bijdraagt. De technologie, die voortkomt uit onderzoek van de TU Delft, richt zich op een energiezuinige microprocessor die signalen van verschillende wereldwijde navigatiesatellieten kan verwerken, waaronder het Europese Galileo, het Amerikaanse GPS en het Chinese Beidou.

Een kenmerkend technisch aspect van deze chip is dat de positiebepaling volledig binnen de hardware zelf plaatsvindt. Er wordt voor de berekeningen geen gebruikgemaakt van de cloud, wat een directe impact heeft op de beveiliging van de locatiegegevens. Door de verwerking lokaal op de chip te houden, wordt de data niet extern verzonden voor de primaire plaatsbepaling. De chip is door zijn lage energieverbruik en compacte formaat ontworpen voor gebruik in drones, slimme horloges, brillen en trackers.

De productie van de chips is ondergebracht bij GlobalFoundries in het Duitse Dresden. Deze keuze is gemaakt om de afhankelijkheid van Aziatische fabrikanten te verkleinen en de Europese strategische autonomie op het gebied van halfgeleiders te versterken. Door de productie binnen Europa te houden, worden de leveringsrisico's beperkt. De massaproductie start eerder dan gepland, omdat de testfase van de chip sneller is afgerond dan aanvankelijk werd verwacht.

In de chip zijn veel functies gedigitaliseerd die voorheen via analoge weg verliepen. Dit stelt gebruikers in staat om via software-updates ondersteuning voor nieuwe satellietsystemen toe te voegen zonder de hardware te hoeven vervangen. Het bedrijf presenteert de definitieve hardware deze week op de technologiebeurs CES in Las Vegas.

Bron 1

De dreiging dat cybercriminaliteit in 2026 leidt tot ernstige maatschappelijke ontwrichting is reëel en groeiende. Stan Duijf, hoofd operatiën cyber van de landelijke politie, waarschuwt voor de toenemende integratie van de digitale onderwereld in het dagelijks leven. Er ontstaan daarbij risicovolle allianties tussen kleine criminelen, de georganiseerde misdaad en hackers die opereren in dienst van staten als Rusland en Noord-Korea. Om deze dreiging het hoofd te bieden, pleit de politie voor een radicale omslag waarbij digitale aanvallen met dezelfde directe urgentie worden opgepakt als zware geweldsmisdrijven.

De kwetsbaarheid van vitale processen werd in het voorbije jaar al pijnlijk duidelijk. In 2025 kampte Nederland met diverse ernstige incidenten, waaronder verstoringen op luchthavens en de wekenlange digitale onbereikbaarheid van het Openbaar Ministerie. Ook de toegang tot overheidsdiensten haperde door uitval van DigiD en er werden minderjarigen aangehouden op verdenking van spionage voor Rusland. Internationaal werd de impact van cybercrime zichtbaar in het Verenigd Koninkrijk, waar een gijzelsoftwareaanval op grote supermarktketens leidde tot voedselschaarste in delen van het land.

Niet alle incidenten bereiken de openbaarheid, mede om maatschappelijke onrust te voorkomen. De politie is echter betrokken geweest bij het mitigeren van aanvallen op cruciale sectoren zoals de energievoorziening, het betalingsverkeer, de gezondheidszorg, het vliegverkeer en de internetinfrastructuur. Ook een beursgenoteerd Nederlands bedrijf werd slachtoffer van ransomware. De politie ziet dat deze aanvallen in heftigheid en professionaliteit toenemen, waarbij criminelen zich specifiek richten op doelwitten waar de data-afhankelijkheid en dus de impact het grootst is.

Een structureel probleem bij de bestrijding is dat getroffen organisaties hacks nog te vaak stilhouden. Hierdoor mist de politie cruciale kansen om via blockchain-analyse en forensisch onderzoek de daders, het geld en de data te traceren. Gestolen gegevens, zoals bij de hack op zorginstelling Clinical Diagnostics, worden vaak doorverkocht of samengevoegd met andere databases, wat leidt tot een kettingreactie van vervolgcriminaliteit. De politie zet onder meer digitale lokmiddelen in om zicht te krijgen op deze handelsstromen en de facilitators die de data verhandelen.

De drempel voor het plegen van ingrijpende cybercrime is door de professionalisering van de criminele markt historisch laag. Via het ‘cybercrime as a service’-model kunnen ook daders met beperkte technische kennis grote schade aanrichten. De financiële omvang van internetcriminaliteit overstijgt inmiddels die van de drugshandel, terwijl de pakkans en risico’s voor de daders relatief klein blijven. Recente successen, zoals de aanhouding van een verdachte met toegang tot 150.000 digitale portemonnees, staan in contrast met de omvang van het probleem, waarbij volgens het CBS één op de vijf Nederlanders slachtoffer is.

Om te voorkomen dat de maatschappij onvoldoende weerbaar is tegen deze dreiging, moet de reactiesnelheid omhoog. Duijf trekt de vergelijking met een liquidatie op straat: daarbij wordt direct grootschalige recherchecapaciteit ingezet zonder te wachten op een formele aangifte. Een dergelijke assertieve en snelle aanpak is noodzakelijk om de digitale veiligheid te waarborgen. Burgers en bedrijven dienen daarbij alerter te zijn op beveiliging en incidenten direct te melden.

Bron 1

De Britse regering heeft het Government Cyber Action Plan geïntroduceerd om de digitale weerbaarheid van overheidsdiensten aanzienlijk te verhogen. Met een investering van 210 miljoen pond, wat neerkomt op circa 243 miljoen euro, beoogt het Verenigd Koninkrijk de beveiliging van publieke voorzieningen gelijk te trekken met de standaarden die gelden voor de kritieke nationale infrastructuur.

Een substantieel deel van het vrijgemaakte budget wordt aangewend voor de oprichting van de Government Cyber Unit. Deze nieuwe operationele eenheid wordt geplaatst onder de verantwoordelijkheid van de Britse Chief Information Security Officer en staat onder toezicht van het Department for Science, Innovation and Technology. De kerntaken van deze afdeling omvatten het proactief identificeren van beveiligingsrisico's binnen de overheid, het aansturen van de respons bij cyberincidenten en het optimaliseren van de herstelcapaciteiten na eventuele verstoringen.

De presentatie van dit actieplan valt samen met de tweede lezing van de Cyber Security and Resilience Bill, wetgeving waaraan reeds geruime tijd wordt gewerkt. Deze wet verankert de verplichting voor overheidsdiensten om te voldoen aan dezelfde stringente beveiligingseisen als beheerders van vitale digitale infrastructuren. Hieronder vallen onder meer cloudproviders, zoekmachines en datacenters, waarmee de wetgever een uniform beveiligingsniveau over de gehele publieke en vitale sector wil afdwingen.

Bron 1

Op woensdag 7 januari 2026 heeft een storing in het netwerk van telecomprovider Vodafone geleid tot uitval van internet- en telefoniediensten in de regio Eindhoven. De technische problemen zorgden ervoor dat diverse overheidsinstanties en vitale organisaties in het zuidoosten van Brabant tijdelijk onbereikbaar waren. Onder de getroffen partijen bevonden zich de gemeenten Helmond, Laarbeek en Bladel, die telefonisch niet te benaderen waren. Naast de lokale overheden ondervonden ook de brandweer en diverse zorginstellingen, waaronder de GGZ, hinder in hun operationele communicatie als gevolg van de connectiviteitsproblemen.

Vodafone bevestigde gedurende de dag dat de oorzaak van de storing was vastgesteld en dat er met hoge prioriteit werd gewerkt aan herstel. Rond het middaguur was een deel van de verbindingen hersteld, maar de dienstverlening was nog niet voor alle gebruikers genormaliseerd. Uit rapportages van de provider bleek later op de middag dat negentig procent van de zakelijke klanten weer toegang had tot het netwerk. Voor de resterende tien procent van de zakelijke markt werd op dat moment nog gewerkt aan een oplossing.

Sinds 1 januari 2026 zijn het Digital Trust Center (DTC) en het Nationaal Cyber Security Centrum (NCSC) officieel samengevoegd. Door deze fusie fungeert het NCSC voortaan als het centrale aanspreekpunt voor de digitale weerbaarheid van alle Nederlandse organisaties. Deze integratie is bedoeld om de versnippering van kennis tegen te gaan en een eenduidige ingang te bieden voor zowel zelfstandig ondernemers als organisaties binnen de vitale sector.

De vernieuwde organisatie onder leiding van directeur Matthijs van Amelsfort richt zich op het bieden van toegang tot expertise en ondersteuning voor een breed scala aan doelgroepen. De bundeling van krachten maakt het mogelijk om beter in te spelen op de uiteenlopende behoeften van het Nederlandse bedrijfsleven en de overheid. Het NCSC is hiervoor 24 uur per dag bereikbaar voor advies en ondersteuning bij incidenten.

Binnen de nieuwe structuur vervult het NCSC vier kernrollen. Als uitvoeringscoördinator faciliteert de instantie de samenwerking tussen publieke en private partners. In de rol van kennis- en adviescentrum worden complexe cyberdreigingen vertaald naar praktische hulpmiddelen, variërend van scans tot specifieke beveiligingsadviezen. Daarnaast fungeert de organisatie als het nationale Computer Security Incident Response Team (CSIRT) dat waarschuwt voor dreigingen en ondersteuning biedt bij incidentrespons. De vierde rol betreft die van sectoraal CSIRT, waarbij gerichte ondersteuning wordt geboden aan organisaties die onder de Cyberbeveiligingswet vallen door middel van incidentmanagement en sectorale dreigingsbeelden.

Gelijktijdig met de officiële samenvoeging is de website van het NCSC vernieuwd. Op dit platform zijn alle beschikbare instrumenten, actuele dreigingsinformatie en specialistische kennis samengebracht om de digitale weerbaarheid in Nederland te versterken.

Bron 1

De gevolgen van de cyberaanval die Jaguar Land Rover afgelopen jaar trof, zijn duidelijk merkbaar in de meest recente verkoop- en kwartaalcijfers van de autofabrikant. In het derde kwartaal van het fiscale jaar rapporteerde de organisatie een aanzienlijke daling in het aantal verkochte voertuigen. Via de groothandel werden er 59.200 eenheden afgezet, wat neerkomt op een daling van 43,3 procent vergeleken met dezelfde periode een jaar eerder. De retailverkopen daalden met 25,1 procent naar een totaal van 79.600 voertuigen.

Het cyberincident vond plaats op 2 september en zorgde direct voor grote verstoringen binnen de bedrijfsvoering. De aanval dwong de autofabrikant om de productie voor een langere periode volledig te staken in diverse fabrieken. De financiële impact van deze productiestop werd eerder al zichtbaar in de resultaten over de periode van 1 juli tot en met 30 september. In dat kwartaal werd een verlies genoteerd van omgerekend 550 miljoen euro, terwijl de onderneming het jaar daarvoor in hetzelfde kwartaal nog een winst van 450 miljoen euro boekte.

Volgens de officiële verklaring van de fabrikant zijn de tegenvallende cijfers in het derde kwartaal een direct gevolg van de gedwongen productiestilstand. Daarnaast speelde de tijd die benodigd was om de wereldwijde distributie van voertuigen opnieuw op te starten een cruciale rol. Nadat de productie in de loop van november weer volledig was hervat, bleek de logistieke keten tijd nodig te hebben om terug te keren op het oude niveau, wat de verkoopcijfers over de gehele breedte heeft beïnvloed.

Bron 1

Het Hooggerechtshof in Nieuw-Zeeland heeft een juridisch verbod uitgevaardigd op het inzien en verspreiden van medische gegevens die zijn ontvreemd bij het zorgportaal Manage My Health. Uit de huidige analyses blijkt dat de persoonlijke informatie van honderdachtduizend tot honderdzesentwintigduizend personen bij dit incident betrokken is. Het getroffen platform faciliteert voor in totaal 1,8 miljoen gebruikers diverse zorgtaken, waaronder het inzien van medische dossiers, het beheren van zorgafspraken en het aanvragen van herhaalrecepten.

Het datalek werd op 30 december vastgesteld. De verantwoordelijke aanvaller claimt via het darkweb te beschikken over een dataset van 108 gigabyte, wat neerkomt op circa 428.000 bestanden. De inhoud betreft privacygevoelige gegevens, waaronder medische diagnoses, voorgeschreven medicatie en informatie over consulten. De cybercrimineel eist een bedrag van 60.000 dollar en dreigt de vertrouwelijke informatie publiekelijk toegankelijk te maken indien er niet wordt betaald.

Met het gerechtelijk bevel is het derde partijen verboden de gestolen medische gegevens te bekijken of verder te distribueren. Om dit te handhaven werkt Manage My Health samen met een internationaal monitoringteam dat toezicht houdt op het internet. Zodra de gestolen data wordt gedetecteerd, worden procedures gestart om de informatie offline te laten halen. De organisatie heeft gemeld dat alle door het lek getroffen patiënten zijn geïdentificeerd en deze week op de hoogte worden gesteld. Voor betrokkenen is een speciaal informatienummer opengesteld voor verdere vragen over de afhandeling van het incident.

Bron 1

Microsoft heeft aangekondigd dat de voorgenomen plannen om een dagelijkse limiet op te leggen aan het aantal externe ontvangers voor bulkberichten in Exchange Online niet doorgaan. Het technologiebedrijf was van plan om een limiet van tweeduizend externe ontvangers per dag in te stellen, maar heeft dit besluit voor onbepaalde tijd opgeschort na feedback van klanten. De maatregel, die oorspronkelijk was bedoeld om spam en misbruik van de mailservers tegen te gaan, stuitte op bezwaren vanwege de potentiële impact op legitieme bedrijfsprocessen.

De introductie van de zogenoemde External Recipient Rate werd in april 2024 aangekondigd, met de intentie om deze tussen juli en december 2025 te handhaven voor bestaande cloud-hosted mailboxen. Klanten gaven echter aan dat deze beperking aanzienlijke operationele uitdagingen zou veroorzaken, met name omdat de huidige mogelijkheden voor bulkverzending binnen het platform beperkt zijn. Het Exchange Team heeft aangegeven te zoeken naar oplossingen die beveiliging en gebruiksgemak beter in balans brengen zonder onnodige verstoringen in de workflow te veroorzaken.

In plaats van een harde nieuwe limiet te handhaven, zal Microsoft zich richten op slimmere en meer adaptieve benaderingen om de dienstverlening te beschermen. Ondanks de annulering van deze specifieke maatregel, blijven de reeds bestaande limieten van Exchange Online ongewijzigd van kracht. Dit betreft een algemene limiet van tienduizend ontvangers per dag en een limiet van vijfduizend externe ontvangers per dag per tenant. Het platform blijft hierdoor beperkingen opleggen aan het verzenden van extreem grote volumes e-mail vanuit één account.

Terwijl Microsoft afziet van deze specifieke inperking, blijven andere grote e-mailproviders zoals Google wel vasthouden aan strikte eisen voor bulkverzenders. Sinds april 2024 moeten verzenders die meer dan vijfduizend berichten per dag naar Gmail-accounts versturen, verplicht gebruikmaken van e-mailauthenticatieprotocollen zoals SPF, DKIM en DMARC. Daarnaast is het voor deze groep verplicht om een afmeldoptie met één klik aan te bieden en verzoeken tot uitschrijving binnen twee dagen te verwerken om blokkades te voorkomen.

Bron 1, 2

De betrouwbaarheid van kunstmatige intelligentie in zoekresultaten staat onder verscherpt toezicht nu Google specifiek personeel werft om de kwaliteit van AI-antwoorden te waarborgen. De zoekgigant heeft een vacature geplaatst voor ingenieurs die zich uitsluitend gaan richten op de kwaliteit van AI Overviews. Deze maatregel volgt op de vaststelling dat AI-systemen geregeld hallucineren, waarbij ze feiten verzinnen of tegenstrijdige informatie geven wanneer een vraag op verschillende manieren wordt geformuleerd.

In de praktijk blijkt dat AI-gegenereerde samenvattingen in de zoekmachine nog regelmatig onjuistheden bevatten. Er zijn incidenten gerapporteerd waarbij de AI foutieve financiële cijfers presenteerde die niet terug te vinden waren in de bronvermeldingen die het systeem zelf citeerde. Ook zijn er meldingen van medische adviezen die door de AI werden gegenereerd maar die feitelijk incorrect of misleidend bleken te zijn. Dit vormt een risico voor gebruikers die blind vertrouwen op de gepresenteerde data boven aan de zoekresultaten.

De noodzaak voor deze kwaliteitsinjectie wordt versterkt door de strategie van Google om gebruikers actiever richting AI-modus en AI-gegenereerde antwoorden te sturen. Naast de zoekresultaten wordt kunstmatige intelligentie nu ook ingezet in de Discover-feed voor het herschrijven van koppen van nieuwsartikelen. Het nieuwe team binnen de afdeling Search moet ervoor zorgen dat de infrastructuur robuust genoeg is om ook bij complexe en lastige zoekopdrachten accurate informatie te verschaffen.

Hoewel de technologie achter de AI-antwoorden de afgelopen tijd is geëvolueerd, bevestigt de zoektocht naar gespecialiseerde ingenieurs dat menselijke controle en technische bijsturing essentieel blijven. De focus van deze nieuwe functies ligt op het elimineren van de inconsistenties die momenteel de bruikbaarheid van de AI-modus belemmeren. Het doel is om de kloof te dichten tussen de snelheid van AI-generatie en de feitelijke precisie die van een wereldwijde informatiedienst wordt verwacht.

Bron 1

Onderzoek door een specialist op het gebied van deepfakes wijst uit dat de AI-chatbot Grok, onderdeel van het platform X, op zeer grote schaal wordt gebruikt voor het genereren van seksueel getinte beelden. Volgens de verzamelde data produceert de chatbot circa 6700 afbeeldingen per uur waarbij personen zonder hun toestemming digitaal worden uitgekleed. Deze schaal is aanzienlijk groter dan bij andere platforms die voor vergelijkbare doeleinden worden gebruikt; de vijf meest bezochte alternatieve websites genereren gemiddeld 79 beelden per uur.

De mogelijkheid voor gebruikers om afbeeldingen te bewerken via de chatbot werd eind december geïntroduceerd. Sindsdien zijn er diverse meldingen en klachten binnengekomen over het misbruik van deze technologie. Zo wordt de AI ingezet om kleding op bestaande foto's te vervangen door bikini's of naaktbeelden. Daarnaast zijn er rapportages over het genereren van seksueel getinte afbeeldingen van minderjarigen. Juridisch deskundigen op het gebied van onlinezedendelicten spreken van een ongekende omvang van deepfake-verspreiding op het platform.

Op Europees niveau heeft de Duitse minister van media de Europese Commissie verzocht om juridische maatregelen tegen de chatbot te treffen. Hierbij wordt verwezen naar de Digital Services Act (DSA), die volgens betrokkenen voldoende juridische grondslag biedt om dergelijk misbruik te bestrijden. De Europese Commissie heeft bevestigd de klachten over de chatbot en het platform X in onderzoek te hebben.

Internationaal is er eveneens beweging van toezichthouders en overheden. Frankrijk en Maleisië zijn officiële onderzoeken gestart naar de werking van Grok. De Britse telecomtoezichthouder Ofcom heeft om opheldering gevraagd over de technische mogelijkheden die het systeem biedt voor het digitaal ontkleden van personen. De focus van deze onderzoeken ligt op de naleving van de veiligheidsnormen en de bescherming van de persoonlijke integriteit van burgers.

Bron 1

De snelle opkomst van niet-menselijke werknemers vormt een fundamentele verschuiving in het hedendaagse landschap van informatiebeveiliging. Door de opschaling van kunstmatige intelligentie en vergaande cloud-automatisering is er sprake van een exponentiële groei in zogeheten niet-menselijke identiteiten. Deze categorie omvat onder meer bots, AI-agenten, serviceaccounts en automatiseringsscripts. Uit recente sectoranalyses, waaronder het 2025 Future of Identity Security Report, blijkt dat een meerderheid van de respondenten de beveiliging van deze digitale entiteiten inmiddels als even cruciaal beschouwt als de beveiliging van menselijke accounts. Ondanks dit groeiende bewustzijn vallen deze identiteiten in de praktijk nog vaak buiten de reikwijdte van traditionele systemen voor identiteits- en toegangsbeheer.

Deze toenemende afhankelijkheid van geautomatiseerde gebruikers creëert nieuwe aanvalsoppervlakken waar organisaties hun beveiligingsarchitectuur op moeten inrichten. Zonder volledig zicht en adequaat toezicht beschikken deze niet-menselijke identiteiten vaak over overmatige rechten, permanente toegang en statische inloggegevens, wat hen tot aantrekkelijke doelwitten maakt voor cybercriminelen. Om deze accounts met dezelfde precisie te beveiligen als menselijke identiteiten, is de implementatie van moderne beveiligingsstrategieën noodzakelijk. Hierbij staan principes als zero-trust, toegang op basis van minimale rechten, geautomatiseerde rotatie van inloggegevens en strikt beheer van geheimen centraal. Door deze strategieën toe te passen, kunnen risico's worden beperkt en kan de compromittering van bevoorrechte accounts worden voorkomen, ongeacht de aard van de gebruiker.

In tegenstelling tot menselijke gebruikers blijven de activiteiten van bots en serviceaccounts vaak onopgemerkt, ondanks dat zij veelal over krachtige toegang tot gevoelige systemen beschikken. Deze identiteiten krijgen frequent brede, permanente toegang verleend binnen infrastructuren, cloudomgevingen en CI/CD-pijplijnen. Eenmaal verstrekt, wordt deze toegang zelden herzien of ingetrokken. De voornaamste veiligheidsrisico's die hiermee gepaard gaan, zijn inloggegevens die hardgecodeerd zijn in scripts, geheimen die ingebed zijn in broncode en een gebrek aan zichtbaarheid op het daadwerkelijke gebruik. Doordat logging of monitoring vaak ontbreekt, kunnen gecompromitteerde machine-inloggegevens leiden tot situaties waarbij aanvallers langdurig ongedetecteerd blijven. In cloudomgevingen overtreft het aantal niet-menselijke gebruikers het aantal menselijke gebruikers aanzienlijk, wat het risico op kwetsbaarheden vergroot wanneer deze groep wordt overgeslagen in beveiligingsaudits.

Om de risico's gerelateerd aan deze identiteiten te mitigeren, dienen organisaties zero-trust principes strikt toe te passen op alle digitale entiteiten. Dit houdt in dat elke machinegebruiker moet worden geauthenticeerd en geautoriseerd, waarbij enkel de minimaal noodzakelijke toegang wordt verleend. Alle activiteiten dienen gelogd, gemonitord en controleerbaar te zijn om aan compliance-eisen te voldoen. Het elimineren van permanente toegang is hierbij essentieel; statische inloggegevens kunnen worden vervangen door kortlevende API-tokens en Just-in-Time toegang. Daarnaast draagt het automatiseren van de rotatie van inloggegevens na voltooiing van een taak bij aan het verkleinen van het tijdsvenster voor potentieel misbruik.

Geheimen zoals API-sleutels, tokens en SSH-inloggegevens zijn onmisbaar voor automatisering, maar introduceren zonder centraal beheer aanzienlijke kwetsbaarheden. Organisaties moeten exact kunnen herleiden wie of wat toegang heeft verkregen tot welke middelen en op welk moment. Zonder dit gedetailleerde inzicht kunnen onbeheerde geheimen zich verspreiden over diverse omgevingen. Het gebruik van algemene oplossingen voor het beheer van geheimen en Privileged Access Management stelt organisaties in staat om controle over bevoorrechte toegang te centraliseren. Dergelijke systemen bieden een architectuur die inloggegevens beveiligt en bevoorrechte sessies monitort, waardoor zowel menselijke als niet-menselijke gebruikers binnen een uniforme omgeving worden beschermd. Aangezien bedrijfsinfrastructuren zich blijven moderniseren, is het beschouwen van niet-menselijke identiteiten als volwaardige gebruikers, die continu gemonitord en beheerd moeten worden, een vereiste voor een weerbare digitale veiligheid.

Bron 1

De regering-Trump heeft officieel kenbaar gemaakt dat de Verenigde Staten zich terugtrekken uit 66 internationale organisaties. Deze beslissing heeft directe gevolgen voor het mondiale landschap van digitale veiligheid, aangezien diverse samenwerkingsverbanden op het gebied van cybersecurity, hybride dreigingen en internetvrijheid op de lijst staan. De stap markeert een breuk in de multilaterale aanpak van digitale vraagstukken en terrorismebestrijding.

Een van de meest prominente veiligheidsinstanties die de Amerikaanse steun verliest, is het European Centre of Excellence for Countering Hybrid Threats. Dit kenniscentrum speelt een centrale rol in de samenwerking tussen de EU en de NAVO bij het analyseren en weerstaan van hybride oorlogsvoering, waaronder cyberaanvallen en desinformatiecampagnes door statelijke actoren. Het vertrek van de Verenigde Staten uit dit orgaan impliceert een wijziging in de inlichtingenuitwisseling en strategische coördinatie op dit vlak.

Daarnaast beëindigen de Verenigde Staten hun lidmaatschap van het Global Forum on Cyber Expertise. Dit forum is wereldwijd leidend in het versterken van cybercapaciteiten en het delen van expertise tussen landen om de digitale infrastructuur te beschermen. Ook de deelname aan de Freedom Online Coalition, een partnerschap dat zich inzet voor mensenrechten online en een open internet, wordt stopgezet.

Op het bredere vlak van veiligheid en rechtshandhaving verlaten de Verenigde Staten tevens het Global Counterterrorism Forum en het International Institute for Justice and the Rule of Law. Het Witte Huis motiveert deze grootschalige terugtrekking door te stellen dat de prioriteiten van deze organisaties, waaronder aandacht voor diversiteit en specifieke sociale vraagstukken, niet langer aansluiten bij de Amerikaanse belangen. De beslissing betekent dat de internationale dialoog over normen in cyberspace en de aanpak van grensoverschrijdende digitale dreigingen voortaan zonder directe Amerikaanse betrokkenheid binnen deze specifieke gremia zal plaatsvinden.

Bron 1

Het Nederlandse kabinet heeft serieuze bedenkingen geuit bij de voorgenomen aanpassingen van de AVG door de Europese Commissie. In een reactie op Kamervragen stelt minister Karremans van Economische Zaken dat een aantal fundamentele wijzigingen in het zogeheten digital omnibus-voorstel het niveau van gegevensbescherming wezenlijk dreigt te verminderen. Deze zorgen sluiten aan bij kritiek van privacyorganisaties, die waarschuwen voor het uithollen van de kernprincipes van de Europese privacywetgeving.

De voorgestelde wijzigingen in het Brusselse pakket omvatten onder meer een herziening van de definitie van persoonsgegevens en de introductie van ruimere mogelijkheden voor de verwerking van bijzondere persoonsgegevens. Dit zou onder voorwaarden worden toegestaan voor verificatiedoeleinden en voor de ontwikkeling van AI-modellen. Het voorstel introduceert 'gerechtvaardigd belang' als expliciete grondslag voor het trainen van deze modellen en staat geautomatiseerde besluitvorming breder toe. Ook wordt geopperd om toegang tot persoonlijke data op apparaten mogelijk te maken zonder dat daarvoor altijd expliciete toestemming van de gebruiker nodig is.

Een belangrijk onderdeel voor de praktijk van informatiebeveiliging is de wijziging van de meldplicht bij datalekken. Het voorstel beperkt deze plicht tot gevallen waarin een lek daadwerkelijk nadelige gevolgen voor personen kan hebben. Bovendien wordt de termijn waarbinnen een lek gemeld moet worden verlengd van 72 naar 96 uur. Volgens critici profiteren vooral grote technologiebedrijven van deze versoepelingen, terwijl de bescherming van gevoelige data, zoals gezondheidsgegevens of politieke opvattingen, onder druk komt te staan.

Minister Karremans geeft aan dat het kabinet het voorstel nog bestudeert. Het ontbreken van een volledige effectbeoordeling door de Europese Commissie maakt het momenteel lastig om de precieze impact op de grondrechten van burgers in kaart te brengen. Het kabinet zal in Brussel om opheldering vragen over de gevolgen voor de gegevensbescherming en de werkelijke bijdrage aan het verlagen van de regeldruk, voordat Nederland een definitief standpunt inneemt over het pakket.

Bron 1

In de Tweede Kamer heeft SP-Kamerlid Jimmy Dijk schriftelijke vragen ingediend bij demissionair ministers Karremans van Economische Zaken en Hermans van Klimaat en Groene Groei. De vragen richten zich op de gevolgen van kunstmatige intelligentie voor de arbeidsmarkt en de wenselijkheid van publieke zeggenschap over deze technologie. De aanleiding voor de Kamervragen vormt de recente berichtgeving over grote technologiebedrijven, specifiek Google en Microsoft, die inzicht in het energieverbruik van hun hyperscale-datacenters aan de overheid zouden onthouden.

Het Kamerlid stelt de toegevoegde waarde van deze datacenters voor de Nederlandse economie ter discussie, aangezien de winsten grotendeels naar Amerikaanse moederbedrijven vloeien terwijl Nederland geen controle heeft over de onderliggende technologie. Dijk vraagt de bewindslieden of zij, mede gezien de netcongestie waar veel delen van Nederland mee kampen, de inzet op grootschalige datacenters nog wel als een verstandige beleidskeuze beschouwen. Daarbij wordt opgemerkt dat de lusten en technologische vooruitgang momenteel onvoldoende ten goede komen aan Nederlandse huishoudens.

Naast de infrastructurele aspecten wordt ingegaan op de maatschappelijke functie van technologie. Aan de ministers wordt gevraagd of zij de opvatting delen dat Artificial Intelligence primair een middel moet zijn om maatschappelijke doelen te dienen, zoals het verlagen van de werkdruk, in plaats van een doel op zich. In het verlengde hiervan wil de vragensteller weten of het kabinet van mening is dat publieke zeggenschap essentieel is om de inzet van AI in goede banen te leiden.

Tot slot wordt gevraagd naar de concrete impact op de werkgelegenheid. De bewindslieden moeten inzichtelijk maken welke specifieke functies nu of in de nabije toekomst door de introductie van AI onder druk komen te staan. Ook wordt gevraagd welke maatregelen worden genomen op het gebied van om- en bijscholing om mensen die door automatisering hun baan dreigen te verliezen aan het werk te houden. De ministers hebben een termijn van drie weken om de vragen te beantwoorden.

Bron 1

De Franse privacytoezichthouder CNIL heeft vastgesteld dat tal van Franse gemeenten de wet overtreden door toeristische locaties live te filmen en deze beelden via internet uit te zenden. Uit onderzoek van de toezichthouder blijkt dat deze zogenoemde toeristencamera’s regelmatig individuen en voertuigen identificeerbaar in beeld brengen. Omdat deze beelden wereldwijd online worden verspreid, is er sprake van een verwerking van persoonsgegevens die moet voldoen aan de kaders van de Algemene Verordening Gegevensbescherming.

De CNIL benadrukt dat gemeenten voor deze praktijken geen beroep kunnen doen op de juridische grondslag van het legitiem belang. Voor het gebruik van die grondslag mag de gegevensverwerking de rechten van de betrokken personen niet disproportioneel schenden. In de praktijk blijken de camera’s echter locaties vast te leggen waar mensen persoonlijke momenten beleven, zoals op horecaterrassen, bij de ingang van woningen of tijdens deelname aan demonstraties. Zowel bewoners als toeristen hebben niet de redelijke verwachting dat zij op dergelijke plekken gefilmd worden voor publieke verspreiding.

Een fundamenteel probleem bij deze systemen is dat betrokkenen geen mogelijkheid hebben om bezwaar te maken voordat zij worden gefilmd. De toezichthouder wijst er bovendien op dat de beelden online door derden kunnen worden onderschept en gebruikt voor doeleinden die niets met toeristische promotie te maken hebben. De CNIL stelt dat de inzet van deze camera's alleen is toegestaan als er geen persoonlijke data wordt vastgelegd. Indien identificatie van personen of kentekens mogelijk blijft, is de inzet van dergelijke systemen in strijd met de wetgeving.

Bron 1

De Belgische consumentenorganisatie Testaankoop heeft na onderzoek geconcludeerd dat een aanzienlijk deel van de huidige "slimme" apparaten, waaronder smart-tv's, robotstofzuigers en deurbelcamera's, risico's voor de privacy van gebruikers met zich meebrengt. Het onderzoek richtte zich op de aard van gegevensverzameling, de transparantie van het privacybeleid en de veiligheid van datatransmissie.

Een belangrijke bevinding is dat fabrikanten vaak de verplichting opleggen om een account aan te maken, ook wanneer dit voor de functionele werking van het apparaat niet strikt noodzakelijk is. Hierbij worden persoonlijke gegevens opgevraagd die niet direct gerelateerd zijn aan het gebruik van het product. Bovendien bleek dat bijbehorende applicaties regelmatig om excessieve permissies vragen, zoals toegang tot de microfoon, de exacte locatie of het volgen van gedrag in andere apps.

Het onderzoek wijst uit dat bijna alle geanalyseerde applicaties gebruikersdata doorsturen naar externe partijen, waaronder marketingfirma's en grote technologiebedrijven. Dit proces vindt veelal plaats op de achtergrond zonder expliciete melding aan de gebruiker. Daarnaast wordt de onduidelijkheid van het privacybeleid bekritiseerd, waardoor het voor consumenten lastig is om te achterhalen met wie hun informatie wordt gedeeld en welke invloed zij hierop kunnen uitoefenen.

Om de blootstelling van data te beperken, wordt geadviseerd om accounts niet te koppelen aan externe platformen. Het beperken van het aantal koppelingen reduceert de routes voor datadeling. Verder wordt aangeraden om alleen een account aan te maken indien dit onvermijdelijk is en om gepersonaliseerde advertentie-instellingen direct uit te schakelen.

Bron 1

Gebruikers van Logitech-randapparatuur op macOS ondervinden momenteel een onderbreking in de dienstverlening door een verlopen digitaal beveiligingscertificaat. De applicaties Logitech Options+ en G HUB, die noodzakelijk zijn voor de geavanceerde configuratie van invoerapparaten, kunnen hierdoor niet worden opgestart op Apple-systemen. Door de blokkade zijn functionaliteiten zoals gepersonaliseerde knoptoewijzingen, macro’s en specifieke sensorinstellingen niet beschikbaar, waardoor de hardware terugvalt op de standaard fabrieksinstellingen.

De oorzaak van de storing ligt bij het verstrijken van de geldigheidstermijn van het code-signing certificaat dat de software valideert binnen de macOS-omgeving. Omdat het besturingssysteem de integriteit van applicaties verifieert aan de hand van actuele certificaten, wordt de uitvoering van de software met het verlopen certificaat geblokkeerd. Dit technisch mankement heeft tevens invloed op het interne updatesysteem van de applicaties, waardoor een automatische distributie van de oplossing naar de eindgebruikers onmogelijk bleek.

Logitech heeft het probleem inmiddels erkend en specifieke patch-installatieprogramma's uitgebracht om de toegang tot de software te herstellen. De fabrikant adviseert gebruikers nadrukkelijk om de niet-functionerende applicaties niet te verwijderen voordat de patch wordt toegepast. Het overschrijven van de bestaande installatie met de nieuwe versie zorgt ervoor dat lokaal opgeslagen configuratiebestanden en gebruikersprofielen behouden blijven. De correctie vereist dat gebruikers de installer handmatig downloaden en uitvoeren, waarna de softwareverificatie opnieuw correct kan plaatsvinden.

Voorafgaand aan de beschikbaarheid van de officiële patches circuleerden diverse tijdelijke oplossingen, variërend van het terugzetten van de systeemdatum tot het blokkeren van internettoegang voor de betreffende processen. Met de publicatie van de gevalideerde patches is de noodzaak voor dergelijke ingrepen, die de systeemstabiliteit kunnen beïnvloeden, vervallen. De officiële update herstelt de volledige functionaliteit zonder verlies van data of compromittering van de systeembeveiliging.

Bron 1, 2, 3, 4, 5

Microsoft zal vanaf 9 februari 2026 de toegang tot het Microsoft 365 Admin Center blokkeren voor gebruikers die geen multi-factor authenticatie hebben ingeschakeld. Hoewel de uitrol van de vereisten voor meervoudige authenticatie in het beheercentrum al in februari 2025 begon, gaat het bedrijf nu over tot actieve handhaving. Dit betekent dat inlogpogingen zonder een geactiveerde tweede beveiligingslaag vanaf de genoemde datum in februari niet langer worden geaccepteerd.

De maatregel heeft direct effect op de toegangspaden die IT-beheerders gebruiken voor het managen van accounts en diensten, specifiek de URL's portal.office.com/adminportal/home, admin.cloud.microsoft en admin.microsoft.com. Volgens Microsoft is deze verplichting noodzakelijk om een essentiële beveiligingslaag toe te voegen die verder gaat dan enkel wachtwoordgebruik. Het doel is om het voor aanvallers aanzienlijk complexer te maken om administratieve accounts over te nemen en zo toegang te krijgen tot gevoelige bedrijfsdata.

Het afdwingen van MFA in het beheercentrum dient als barrière tegen diverse aanvalsmethoden, waaronder phishing, credential stuffing, brute force-aanvallen en het misbruik van hergebruikte wachtwoorden. Een onderzoek van Microsoft uit november 2023 toonde aan dat accounts met MFA in 99,99 procent van de gevallen in staat zijn hackpogingen te blokkeren. Ook wanneer inloggegevens reeds zijn gecompromitteerd, reduceert MFA de kans op daadwerkelijke accountovername met 98,56 procent.

Om onderbrekingen in de IT-dienstverlening te voorkomen, is het noodzakelijk dat beheerders tijdig actie ondernemen. Organisaties die voor de deadline in februari de configuratie niet op orde hebben, zullen te maken krijgen met toegangsstoringen doordat beheerders niet meer kunnen inloggen op de portalen. Wereldwijde beheerders kunnen de implementatie uitvoeren via de installatiewizard van Microsoft of de officiële documentatie volgen, terwijl individuele gebruikers hun verificatiemethoden kunnen instellen via het daarvoor bestemde setup-portaal.

Deze handhaving volgt op eerdere stappen om de cloudomgevingen te beveiligen. Sinds maart 2025 wordt MFA al verplicht gesteld voor alle aanmeldingen op de Azure Portal, een beleidswijziging die in mei 2024 werd aangekondigd. Daarnaast is MFA sinds oktober 2025 vereist voor toegang via Azure CLI, PowerShell, SDK's en API's om gebruikersaccounts consistent te beschermen tegen ongeautoriseerde toegang.

Bron 1

De Europese Commissie heeft het platform X gesommeerd om alle interne documentatie en gegevens over de chatbot Grok tot ten minste eind 2026 te bewaren. Dit besluit is ingegeven door ernstige signalen over het gebruik van deze kunstmatige intelligentie voor het vervaardigen van illegale content. Er is gebleken dat de technologie van xAI, de ontwikkelaar achter de chatbot, op grote schaal wordt ingezet voor het creëren van non-consensuele naaktbeelden en seksueel getinte afbeeldingen van minderjarigen.

De commotie ontstond nadat gebruikers ontdekten dat de chatbot, via een specifieke modus, reguliere foto's van personen kan transformeren naar expliciet materiaal. De Europese Commissie heeft deze output gekwalificeerd als een schending van de wetgeving en benadrukt dat dergelijk materiaal geen plek heeft op de Europese digitale markt. De bewaarplicht is een formele procedure om bewijslast veilig te stellen voor toekomstige controles op de naleving van de Digital Services Act (DSA).

Hoewel een officieel onderzoek naar wetsovertredingen door X nog in de beoordelingsfase zit, fungeert de maatregel als een directe waarschuwing. Brussel vereist dat het platform zijn interne processen en algoritmen transparant houdt voor toezichthouders. Hiermee wordt voorkomen dat data over beveiligingsincidenten of tekortkomingen in de moderatiefilters voortijdig worden gewist.

De juridische druk op het bedrijf van Elon Musk neemt internationaal toe. Naast de stappen van de Europese Commissie lopen er inmiddels concrete gerechtelijke onderzoeken in Frankrijk en Maleisië. De focus ligt hierbij op de verantwoordelijkheid van het platform voor de output van zijn AI-systemen en de effectiviteit van de ingebouwde veiligheidswaarborgen om misbruik voor de productie van verboden materiaal tegen te gaan.

Het aantal klachten over gegevensbescherming heeft een nieuw recordniveau bereikt. Burgers maken in toenemende mate melding van inbreuken op hun privacy, waarbij een duidelijke trend zichtbaar is richting incidenten bij grote online platforms. De zorgen concentreren zich met name rondom sociale netwerken en de groeiende invloed van toepassingen op basis van kunstmatige intelligentie.

Specifiek de integratie van AI-systemen en de grootschalige gegevensverwerking door technologiebedrijven zoals Meta leiden tot een piek in de rapportages. Gebruikers van diensten zoals Facebook en Instagram worden geconfronteerd met complexe privacyvraagstukken, wat resulteert in een verhoogde instroom van meldingen bij de bevoegde instanties. De onzekerheid over hoe persoonlijke data, waaronder openbare berichten en foto's, wordt aangewend voor het trainen van algoritmen speelt hierbij een centrale rol.

Naast de beleidsmatige klachten dragen ook technische storingen en cyberaanvallen bij aan de statistieken. Het totaal aantal onderzoeken naar aanleiding van datalekken en digitale inbraken is hierdoor aanzienlijk gestegen. De combinatie van deze factoren zorgt momenteel voor een ongekende druk op het landschap van de Europese gegevensbescherming, waarbij de roep om transparantie en controle voor de gebruiker toeneemt.

Bron 1

Het University of Hawaiʻi Cancer Center is in augustus getroffen door een aanval met gijzelsoftware waarbij de persoonlijke gegevens van onderzoeksdeelnemers zijn buitgemaakt. Onder de gestolen informatie bevinden zich socialezekerheidsnummers en andere gevoelige data. Uit een officieel rapport van de universiteit aan de wetgevende macht in december blijkt dat de betrokkenen vier maanden na het incident nog niet persoonlijk op de hoogte zijn gesteld van de diefstal van hun gegevens.

De aanvallers versleutelden tijdens de inbraak bestanden op de servers van het centrum die betrekking hadden op een kankeronderzoek. De universiteit verklaarde in het rapport dat de beslissing is genomen om met de cybercriminelen in gesprek te gaan om de personen wiens informatie was gecompromitteerd te beschermen. Hierbij is samengewerkt met externe cybersecurity-experts om een ontsleutelingsprogramma te verkrijgen en afspraken te maken over de vernietiging van de illegaal verkregen data door de daders. Er is geen informatie vrijgegeven over de hoogte van het eventueel betaalde bedrag of de wijze waarop de vernietiging van de data is geverifieerd.

De afhandeling van het incident roept vragen op met betrekking tot de naleving van de lokale wetgeving. In de staat Hawaï geldt voor overheidsinstanties een meldingsplicht van twintig dagen na ontdekking van een datalek. De universiteit diende het rapport echter pas in december in, terwijl de inbreuk in augustus werd geconstateerd. Hoewel uitstel van melding wettelijk is toegestaan als wetshandhavingsinstanties aangeven dat een onderzoek in gevaar komt, bevat het ingediende rapport geen aanwijzingen dat een dergelijk verzoek is gedaan.

Inmiddels heeft het kankercentrum beveiligingsmaatregelen getroffen, waaronder het resetten van wachtwoorden, het installeren van monitoringsoftware en het laten uitvoeren van een externe audit op de vernieuwde systemen. De universiteit werkt aan een lijst met namen en adressen om de getroffen deelnemers te informeren en hen diensten aan te bieden ter voorkoming van identiteitsfraude. De keuze om losgeld te betalen wijkt af van de algemene richtlijnen van de FBI, die stelt dat betalingen verdere criminaliteit stimuleren en geen garantie bieden op een veilige afloop.

Bron 1

Tijdens de technologiebeurs CES 2026 in Las Vegas is een significante verschuiving zichtbaar naar de integratie van fysieke kunstmatige intelligentie in hardware. De introductie van apparatuur die zelfstandig de omgeving waarneemt, analyseert en daarop reageert, markeert een nieuwe fase in de digitalisering van de fysieke leefomgeving. Diverse sectoren, van mobiliteit tot consumentenelektronica, tonen een toenemende afhankelijkheid van sensoren en autonome algoritmen.

Een belangrijke ontwikkeling is de komst van wearables met geïntegreerde AI-visie. Razer presenteerde een hoofdtelefoon, Project Motoko, die door middel van ingebouwde camera's en microfoons de omgeving observeert. Dit apparaat kan visuele informatie, zoals teksten op menukaarten, in real-time verwerken en vertalen via AI-modellen zoals ChatGPT of Gemini. Terwijl de consumentenversie gericht is op directe ondersteuning, is er een expliciet onderscheid gemaakt voor zakelijke toepassingen waarbij datavergaring voor het trainen van modellen een rol speelt.

In het domein van de autonome mobiliteit presenteerde Uber in samenwerking met Lucid Motors en Nuro een nieuwe robotaxi. Het voertuig maakt gebruik van een uitgebreid pakket aan sensoren, radar en camera's voor een 360-graden omgevingsbeeld. De interactie tussen de gebruiker en het voertuig wordt verder gedigitaliseerd door de mogelijkheid om via persoonlijke profielen de klimaatbeheersing en entertainmentinstellingen te automatiseren. Tegelijkertijd introduceerde Strutt met de EV1 een volledig zelfsturende stoel voor persoonlijke mobiliteit, die zonder menselijke tussenkomst door drukke ruimtes navigeert door obstakels in real-time te detecteren.

De robotisering in de huishoudelijke en persoonlijke sfeer zet door met apparaten zoals de Saros Rover van Roborock, een robotstofzuiger die trappen kan beklimmen en reinigen. Daarnaast is er een opkomst van interactieve systemen zoals OlloNi, een robot die via sensoren en een digitaal scherm menselijke interactie en emoties simuleert. In de digitale zorgsector werd SITh.XRaedo getoond, een platform dat met behulp van extended reality een virtuele avatar genereert op basis van een foto, bedoeld voor therapeutische doeleinden waarbij spraak en gebaren in real-time worden gesynchroniseerd.

Ook in de consumentenmarkt voor speelgoed wordt sensortechnologie de standaard. Lego introduceerde Smart Play, waarbij bouwstenen zijn voorzien van sensoren die licht en afstand meten om gecoördineerde acties te triggeren. Deze breed gedragen trend op CES 2026 bevestigt dat de fysieke wereld op grote schaal wordt uitgerust met sensoren en AI-gedreven systemen, waardoor de continue stroom van data tussen hardware en externe netwerken verder intensiveert.

Bron 1

Triodos Bank heeft technische aanpassingen doorgevoerd in de eigen Android-applicatie waardoor gebruikers van GrapheneOS weer gebruik kunnen maken van de diensten voor mobiel bankieren. GrapheneOS is een op Android gebaseerd besturingssysteem dat specifiek is ontwikkeld voor Pixel-telefoons met een sterke focus op privacy en beveiliging. In eerdere versies van de Triodos-app werden gebruikers van dit systeem geblokkeerd omdat de software het toestel onterecht identificeerde als geroot of jailbroken.

Het technische conflict ontstond door het gebruik van de Play Integrity API van Google. Deze interface stelt app-ontwikkelaars in staat om te controleren of een applicatie op een officieel en ongewijzigd Android-toestel draait. Google staat echter niet toe dat GrapheneOS gebruikmaakt van deze API voor de verificatie van de systeemintegriteit. De ontwikkelaars van GrapheneOS adviseren organisaties daarom om gebruik te maken van de Android hardware attestation API. Deze methode maakt het mogelijk om de authenticiteit en integriteit van de hardware te verifiëren zonder afhankelijk te zijn van Google Play Services of Google's Play Integrity-servers.

Na meldingen via onder meer GitHub heeft Triodos besloten verschillende aanpassingen in de app terug te draaien. Hoewel de bank officieel geen ondersteuning biedt voor alternatieve Android-besturingssystemen, is er binnen de veiligheidsmarges gezocht naar een oplossing om deze groep gebruikers te blijven bedienen. Een senior Android-ontwikkelaar van Triodos heeft bevestigd dat het besturingssysteem inmiddels op een testtoestel van de bank is geïnstalleerd om toekomstige compatibiliteitsproblemen te voorkomen.

De bank zal tevens de informatievoorziening op de eigen website aanpassen. De eerdere meldingen waarbij GrapheneOS-gebruikers werden gewezen op de risico's van een geroot of jailbroken apparaat waren feitelijk onjuist. GrapheneOS beschikt namelijk over beveiligingsfuncties zoals verified boot en heeft standaard geen root-toegang. Door de wijzigingen kunnen gebruikers die kiezen voor verhoogde privacy-instellingen via alternatieve OS-distributies weer volledig gebruikmaken van hun bank-app.

Bron 1, 2

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties heeft een dringend advies uitgebracht aan overheidsinstanties om geen eigen generieke topleveldomeinen (gTLD) aan te vragen. Deze oproep komt op het moment dat de internationale domeinorganisatie ICANN in april 2026 een nieuwe aanvraagronde opent voor dergelijke extensies. Het ministerie baseert het negatieve advies op ervaringen uit de vorige ronde in 2012, toen enkele instanties eigen extensies zoals .politie registreerden. Uit evaluaties blijkt dat dergelijke specifieke domeinen de online aanwezigheid van de overheid versnipperen en de herkenbaarheid voor de burger niet vergroten.

Naast de verminderde herkenbaarheid spelen technische en financiële motieven een doorslaggevende rol in het advies. Het aanvragen, inrichten en structureel onderhouden van een eigen topleveldomein brengt hoge kosten en aanzienlijke technische complexiteit met zich mee. Er gelden strikte eisen voor de continuïteit en beveiliging van de infrastructuur achter een gTLD. Het ministerie streeft naar een "één overheidsgedachte", waarbij een uniforme uitstraling essentieel is om het vertrouwen van burgers in digitale overheidsdiensten te waarborgen.

Op dit moment loopt er een onderzoek naar een alternatieve, uniforme oplossing voor alle Nederlandse overheidsorganisaties. Hierbij wordt gekeken naar een vaste second-level domeinnaam of suffix, met als opties .gov.nl of .overheid.nl. Een dergelijke centrale extensie moet de weerbaarheid tegen cybercrime vergroten, doordat burgers hiermee gemakkelijker kunnen verifiëren of zij zich op een legitieme website bevinden. Totdat dit onderzoek is afgerond, wordt instanties geadviseerd vast te houden aan de bestaande structuren binnen het .nl-domein.

Bron 1, 2

De Californische privacytoezichthouder CalPrivacy heeft een Amerikaanse datahandelaar een boete van 45.000 dollar opgelegd. De sanctie is het gevolg van het illegaal verhandelen van gevoelige persoonsgegevens van miljoenen individuen, waaronder patiënten met de ziekte van Alzheimer, drugsverslaafden en personen met specifieke medische aandoeningen zoals incontinentieproblemen. De datahandelaar exploiteerde deze gegevens door specifieke profielen aan te leggen voor gerichte advertentiedoeleinden.

De betreffende organisatie kocht op grote schaal data in en categoriseerde deze in gedetailleerde lijsten. Naast medische informatie en de aanschaf van gezondheidsproducten bevatten deze lijsten data over leeftijd, vermeende etnische afkomst, politieke voorkeuren en financiële activiteiten zoals banktransacties en supermarktaankopen. Het onderzoek wees uit dat de handelaar in 2024 actief was zonder de wettelijk verplichte registratie als datahandelaar in de staat Californië te hebben voltooid, een voorwaarde om onder de California Delete Act legaal in dergelijke informatie te mogen handelen.

CalPrivacy heeft de onderneming gesommeerd de verkoop van persoonsgegevens van inwoners van Californië per direct te staken. Volgens de toezichthouder vormt het verhandelen van lijsten met kwetsbare groepen een aanzienlijk risico. Dergelijke data kunnen buiten advertentiedoeleinden om worden misbruikt voor andere vormen van exploitatie, zoals gerichte oplichting. De toezichthouder benadrukte dat de geschiedenis aantoont dat specifieke categoriseringen van burgers gevaarlijke situaties kunnen creëren wanneer zij in de verkeerde handen vallen.

Bron 1

De recente introductie van "ChatGPT Health" door OpenAI heeft geleid tot kritische reacties van privacyexperts en databeveiligers. Met deze nieuwe dienst kunnen gebruikers gevoelige medische informatie, zoals testuitslagen, medische notities en data uit wellness-apps zoals Apple Health en MyFitnessPal, direct koppelen aan de chatbot. OpenAI positioneert de tool als een hulpmiddel om patiënten voor te bereiden op doktersbezoeken en complexe medische dossiers begrijpelijk te maken. Hoewel de functie momenteel nog is voorbehouden aan de Amerikaanse markt, heeft de ontwikkelaar de intentie uitgesproken om de dienst in de nabije toekomst ook in Europa uit te rollen.

Privacywaakhonden wijzen op de fundamentele risico's van het toevertrouwen van medische dossiers aan een commercieel AI-platform. Hoewel OpenAI stelt dat gegevens binnen ChatGPT Health in een gescheiden omgeving worden verwerkt en niet worden gebruikt voor het trainen van hun basismodellen, benadrukken experts dat gebruikers volledig afhankelijk zijn van de interne beloftes van het bedrijf. Bij een gebrek aan dwingende regelgeving kan de provider de algemene voorwaarden en het gebruik van de data op elk moment eenzijdig wijzigen. Er wordt specifiek gewaarschuwd voor de vervaging van grenzen tussen medische gegevens en commerciële belangen, zeker nu het bedrijf advertentiemodellen verkent.

Daarnaast is de waterdichte scheiding tussen gezondheidsdata en andere gesprekshistorie een punt van zorg. Hoewel de reguliere chatbot geen toegang zou hebben tot de gezondheidsomgeving, kan ChatGPT Health wel informatie ophalen uit algemene gesprekken om adviezen te personaliseren. Voor gebruikers in Nederland en België is de dienst momenteel nog geblokkeerd vanwege de strikte Europese privacywetgeving, maar de discussie over de veiligheid van deze dataopslag in de cloud blijft actueel nu de technologische integratie tussen AI en persoonlijke gezondheidszorg versnelt.

Bron 1, 2

Sinds de ochtend van 8 januari 2026 kampen netwerkbeheerders met ernstige verstoringen in hun infrastructuur door een specifieke bug in diverse Cisco-switchmodellen. De getroffenen ervaren dat apparatuur herhaaldelijk spontaan herstart, wat de continuïteit van de netwerkverbindingen onderbreekt. Dit defect wordt veroorzaakt door een fout in de interne DNS-client van de firmware, die een mislukte DNS-zoekopdracht onterecht als een fatale systeemfout behandelt.

De problematiek doet zich voor bij een breed scala aan hardware, waaronder de Cisco CBS250- en CBS350-series, de Catalyst C1200- en C1300-series, en de SG350-, SG350X- en SG550X-modellen. Foutrapportages in de systeemlogs wijzen uit dat de crashes optreden wanneer de switches proberen domeinnamen zoals www.cisco.com of NTP-tijdservers te resolveren. Zodra de DNS-aanvraag mislukt, genereert het systeem een fatale foutmelding binnen de DNSC-taak, waarna de switch onmiddellijk herstart. Omdat het apparaat na het opnieuw opstarten dezelfde actie probeert uit te voeren, ontstaat er een continue herstartcyclus die de netwerkbezetting ernstig belemmert.

Onderzoek heeft uitgewezen dat de directe aanleiding voor de storing een wijziging was in de configuratie van een extern Content Delivery Network. Hoewel deze wijziging door de betreffende partij is teruggedraaid om de incidenten te beperken, is de kwetsbaarheid in de software van de switches hiermee niet opgelost. De fabrikant heeft bevestigd dat er aan een officiële software-update wordt gewerkt om deze kwetsbaarheid definitief te verhelpen.

Beheerders die momenteel met deze problemen worden geconfronteerd, kunnen de stabiliteit van hun netwerk handmatig herstellen door tijdelijke aanpassingen in de configuratie door te voeren. Het uitschakelen van de DNS-resolutie, het deactiveren van SNTP-tijdsynchronisatie of het blokkeren van uitgaand internetverkeer op de managementinterfaces van de switches stopt de herstartcyclus. Deze maatregelen voorkomen dat de kritieke DNS-fout wordt getriggerd zolang de definitieve patch nog niet is geïnstalleerd.

Bron 1

De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft tien Noodrichtlijnen ingetrokken die tussen 2019 en 2024 zijn uitgevaardigd. Deze richtlijnen werden destijds opgesteld om onmiddellijke actie af te dwingen bij zeer ernstige beveiligingslekken in veelgebruikte software. Het agentschap stelt dat de vereiste acties voor deze dossiers nu zijn voltooid of dat de risico's inmiddels worden beheerd via de structurele Bindende Operationele Richtlijn (BOD) 22-01.

Het gelijktijdig beëindigen van tien van dergelijke richtlijnen is een zeldzame grootschalige actie. Noodrichtlijnen zijn statutair bedoeld voor het kortstondig en effectief beperken van urgente dreigingen. Na een grondige evaluatie is vastgesteld dat de beheersing van de betreffende kwetsbaarheden inmiddels is geborgd via de catalogus van bekende uitgebuite kwetsbaarheden (KEV), waardoor aparte noodbevelen niet langer noodzakelijk zijn.

De ingetrokken richtlijnen hebben betrekking op systemen die ook in de Benelux op grote schaal worden toegepast. Het betreft onder meer maatregelen tegen het manipuleren van de DNS-infrastructuur (ED 19-01) en verschillende Windows-kwetsbaarheden die in 2020 werden vastgesteld, waaronder het kritieke Netlogon-lek (ED 20-02, ED 20-03 en ED 20-04). Ook de noodrichtlijnen voor de SolarWinds Orion-compromittering (ED 21-01), beveiligingslekken in on-premises Microsoft Exchange-producten (ED 21-02), de Windows Print Spooler-service (ED 21-04) en kwetsbaarheden in VMware (ED 22-03) zijn nu formeel afgesloten. De lijst wordt gecompleteerd door de beëindiging van richtlijn ED 24-02, die gericht was op risico's door statelijke actoren bij Microsoft-e-mailsystemen.

Door deze verschuiving vallen de betreffende softwarelekken nu onder het reguliere kwetsbaarheidsbeheer van de KEV-catalogus. Organisaties die deze kaders volgen, dienen lekken van vóór 2021 binnen een standaardtermijn van zes maanden te verhelpen, terwijl voor nieuwere kwetsbaarheden doorgaans een periode van twee weken geldt. CISA behoudt de bevoegdheid om bij uitzonderlijk hoge risico's kortere deadlines op te leggen, zoals recent is voorgekomen bij kritieke lekken in Cisco-apparatuur waarbij herstel binnen 24 uur vereist was.

Bron 1

De kantonrechter in Haarlem heeft geoordeeld dat een Noord-Hollands horecabedrijf de privacyrechten van twee voormalige werknemers ernstig heeft geschonden. De werkgever moet beide mannen een billijke vergoeding van 2000 euro per persoon betalen, omdat de leiding van het bedrijf zonder toestemming privégesprekken via WhatsApp had ingezien, vastgelegd en verspreid. De uitspraak benadrukt dat technische toegang tot een apparaat geen vrijbrief vormt voor het doorzoeken van privégegevens.

De zaak vloeit voort uit een arbeidsconflict dat in 2024 begon. Twee koks, werkzaam voor een café-restaurant in Haarlem dat valt onder een Amsterdams horecabedrijf, uitten in privégesprekken hun frustratie over het uitblijven van vernieuwingen in de keuken. Omdat een van de werknemers zijn WhatsApp-account had gekoppeld aan een bedrijfslaptop, kreeg een leidinggevende van de bediening in juni 2025 toegang tot deze conversaties. De leidinggevende verklaarde dat het gesprek openstond toen zij de laptop wilde gebruiken. Zij besloot de berichten, waarin de koks zich negatief uitlieten over collega's en de directie, te lezen en te fotograferen. Deze foto's werden vervolgens gedeeld met de eigenaar van het bedrijf.

Nadat de werknemers op de inhoud van de berichten waren aangesproken en zich vervolgens ziekmeldden, besloot het bedrijf hun tijdelijke contracten niet te verlengen. De koks spanden daarop een rechtszaak aan wegens privacyschending en eisten een schadevergoeding van 30.000 euro. Hoewel het horecabedrijf stelde dat de werknemers de inkijk zelf hadden veroorzaakt door het gesprek open te laten staan, oordeelde de rechtbank Noord-Holland dat er sprake was van een onrechtmatige inbreuk op de persoonlijke levenssfeer. Volgens de kantonrechter is hiermee het recht op privacy, zoals verankerd in het Europees Verdrag tot bescherming van de rechten van de mens, geschonden.

De rechter kende een lagere vergoeding toe dan geëist, aangezien beide werknemers kort na het incident alweer elders aan de slag waren gegaan, waardoor de inkomensschade beperkt bleef. De billijke vergoeding van 2000 euro per persoon is toegekend voor de immateriële gevolgen, zoals stress en gevoelens van ongemak. De uitspraak dient tevens als correctie voor de werkgever, die volgens de rechtbank onvoldoende besef toonde van de ernst van de gemaakte inbreuk op de persoonlijke levenssfeer van het personeel.

Bron 1

De toenemende verharding van het online debat heeft tastbare gevolgen voor de veiligheid en privacy van personen met een publiek profiel op sociale media. Een actuele casus die deze problematiek illustreert, is de situatie van de Nederlandse contentcreator Annemarie Geerts. Als moeder van acht kinderen deelt zij via diverse platforms beelden uit haar gezinsleven. Hoewel zij aanvankelijk te maken kreeg met regulier commentaar op online fora, is de aard van de reacties recentelijk geëscaleerd naar ernstige digitale agressie en inbreuk op de persoonlijke levenssfeer.

Naar aanleiding van de publieke discussie over de ethiek van familievlogging ontstond er een intensieve online reactie tegen de influencer. Dit resulteerde in een stroom van haatberichten via directe privéberichten, waarbij de grens van strafbaarheid meermaals werd overschreden. Geerts rapporteert expliciete doodsbedreigingen aan haar eigen adres en tekstuele verwensingen gericht op haar gezinsleden. De anonimiteit van het internet wordt hierbij gebruikt om ernstige bedreigingen te uiten zonder directe sociale consequenties voor de verzender.

Naast digitale bedreigingen is er sprake van een fysieke inbreuk op de privacy die raakvlakken vertoont met stalking. Er zijn incidenten bekend waarbij minderjarige gezinsleden zonder toestemming in de openbare ruimte door onbekenden zijn gefilmd en gefotografeerd. Dit beeldmateriaal wordt vervolgens ongevraagd aan de betrokkene toegestuurd of online verspreid. Deze ontwikkeling leidt tot een verhoogd gevoel van onveiligheid en noodzaakt tot constante waakzaamheid in de fysieke omgeving, zoals op schoolpleinen.

Om de risico's te beheersen en de veiligheid van de minderjarige gezinsleden te waarborgen, zijn er striktere maatregelen getroffen in de online bedrijfsvoering. Commerciële samenwerkingen waarbij de kinderen een actieve rol spelen, worden niet langer aangegaan om de druk en exposure te beperken. Op het gebied van digitale weerbaarheid hanteert Geerts een protocol waarbij ernstige bedreigingen consequent bij de politie worden gemeld. Daarnaast worden accounts die overgaan tot intimidatie geblokkeerd en wordt de blootstelling aan inkomende berichten gereguleerd door vaste momenten voor accountbeheer in te plannen. De casus onderstreept de noodzaak voor een bredere discussie over wetgeving ter bescherming van minderjarigen online en de juridische aanpak van digitale bedreigingen.

Bron 1

Anthropic heeft officieel bevestigd dat er gemanipuleerde berichten circuleren over het blokkeren van gebruikersaccounts en het rapporteren van privégegevens aan de politie. De ontkenning volgt op een screenshot dat viraal ging op het platform X, waarin werd geclaimd dat de maker van de AI-assistent Claude een gebruiker permanent had verbannen en diens details direct had gedeeld met lokale autoriteiten.

De populariteit van AI-tools zoals Claude Code, die veelvuldig worden ingezet door programmeurs en technisch personeel, leidt volgens beveiligingsexperts tot een toename van desinformatie en trollgedrag. In het bewuste screenshot werd taalgebruik gehanteerd dat specifiek was ontworpen om angst in te boezemen. Anthropic benadrukt in een verklaring dat deze tekst en de vormgeving van het bericht op geen enkele wijze overeenkomen met de werkelijke interface of de communicatie die het bedrijf met zijn gebruikers voert.

Volgens het technologiebedrijf is de betreffende afbeelding niet authentiek. Er wordt op gewezen dat dit specifieke screenshot een vervalsing is die periodiek opnieuw opduikt op sociale media en feitelijk onjuist is. Hoewel de bewuste waarschuwing over directe politie-inmenging in dit geval vals is, hanteert Anthropic wel strikte gebruiksvoorwaarden. Gebruikers die herhaaldelijk het beleid schenden, bijvoorbeeld door te trachten de AI in te zetten voor illegale activiteiten zoals het ontwikkelen van malware of wapengerelateerde verzoeken, kunnen te maken krijgen met restricties of accountblokkades. De handhaving daarvan verloopt echter via de officiële kanalen van het bedrijf en niet via de dreigende taal die in deze hoaxes wordt gebruikt.

Bron 1

De recente ontwikkelingen rondom de AI-chatbot Grok, die het eenvoudig maakt om personen op foto's digitaal uit te kleden, hebben de discussie over digitale wetgeving in een stroomversnelling gebracht. Terwijl diverse internationale toezichthouders en overheden oproepen tot verboden en onderzoeken starten, is er in Nederland na maanden van bestuurlijk overleg nog geen concrete maatregel getroffen tegen de aanbieders van deze applicaties.

De problematiek rondom zogenoemde uitkleedapps neemt toe. Met deze software kunnen foto's van willekeurige personen zonder hun toestemming worden bewerkt, waardoor het lijkt alsof zij naakt of in ondergoed zijn afgebeeld. Expertisecentrum Offlimits ontving het afgelopen jaar tientallen meldingen van slachtoffers die met dergelijke AI-gegenereerde beelden werden geconfronteerd. Doordat de technologie nu via het sociale netwerk X beschikbaar is, is de drempel voor misbruik aanzienlijk verlaagd en hebben miljoenen gebruikers toegang tot de tool.

Demissionair minister Van Oosten van Justitie en Veiligheid bestempelt het fenomeen als buitengewoon verwerpelijk. De impact op slachtoffers is groot, mede doordat het gemanipuleerde materiaal vaak nauwelijks van echt te onderscheiden is. Slachtofferhulp benadrukt dat zelfs beelden waarin personen in bikini of ondergoed worden getoond, als traumatiserend worden ervaren en het veiligheidsgevoel ernstig aantasten. Hoewel het slachtoffer weet dat het beeld nep is, weet de omgeving dit vaak niet.

Op juridisch vlak is er sprake van een complexe situatie. Het vervaardigen en verspreiden van deepfakenaaktbeelden is in Nederland reeds strafbaar en kan leiden tot een gevangenisstraf van twee jaar, of hoger indien het minderjarigen betreft. De apps en websites die de tools faciliteren, opereren echter in een grijs gebied. De Autoriteit Persoonsgegevens noemt de diensten zorgwekkend en onderzoekt momenteel samen met de Autoriteit Consument & Markt, de politie en de Autoriteit online Terroristisch en Kinderpornografisch Materiaal welke stappen mogelijk zijn. Het ministerie van Justitie en Veiligheid bekijkt de wenselijkheid van een specifiek verbod op het aanbieden van de software.

Internationaal wordt er feller gereageerd op de kwestie. In landen als Frankrijk, Australië, India en Zweden lopen inmiddels onderzoeken naar Grok. De Europese Commissie heeft de functionaliteit als illegaal bestempeld en stelt dat dergelijke diensten geen plaats hebben in Europa. Waar andere AI-diensten strikte filters hanteren, blijken de beperkingen bij Grok eenvoudiger te omzeilen. Platform X heeft in reactie op de kritiek de toegang tot de beeldgenerator beperkt tot betalende gebruikers die hun identiteitsgegevens achterlaten, maar volgens experts neemt dit het fundamentele risico van de software niet weg.

De Maleisische internettoezichthouder heeft op zondag 11 januari 2026 maatregelen genomen tegen Grok, de chatbot van het bedrijf xAI. De toegang tot de kunstmatige intelligentie wordt beperkt omdat de tool wordt gebruikt voor het genereren van seksueel expliciete afbeeldingen. De beperking blijft van kracht totdat het bedrijf van Elon Musk aantoonbaar effectieve veiligheidsmaatregelen heeft ingevoerd om deze content te blokkeren.

De toezichthouder heeft officieel contact opgenomen met xAI en het platform X om te voorkomen dat de gegenereerde inhoud de Maleisische wetgeving overtreedt. Er is wereldwijd bezorgdheid ontstaan over de chatbot, omdat gebruikers afbeeldingen kunnen laten genereren van personen zonder hun toestemming. Hierbij is vastgesteld dat de software ook wordt ingezet voor het maken van beelden van kinderen, die vervolgens via X worden verspreid.

De stap van Maleisië volgt op een eerdere beslissing van Indonesië, dat op zaterdag 10 januari 2026 de toegang tot Grok om dezelfde redenen al tijdelijk blokkeerde. Ook de Europese Unie heeft inmiddels ingegrepen; de Europese Commissie heeft X opgedragen om alle relevante interne documenten en data over de werking en veiligheid van Grok te bewaren tot zeker eind 2026. Dit wijst op een langdurig toezichtstraject op het platform.

Hoewel xAI op vrijdag 9 januari 2026 bekendmaakte dat alleen betalende gebruikers nog afbeeldingen kunnen bewerken, en de chatbot eerder meldde dat bepaalde beelden waren verwijderd, achten diverse internationale autoriteiten deze maatregelen onvoldoende. In Nederland wordt momenteel gesproken over de aanpak van dit type AI-toepassingen, maar tot op heden zijn er nog geen concrete resultaten of verboden uit deze gesprekken voortgekomen. De focus van de discussie ligt hierbij op het voorkomen van misbruik via zogenoemde uitkleedapps en vergelijkbare generatieve AI-technieken.

Bron 1

De Vietnamese overheid heeft nieuwe wetgeving aangenomen die strikte technische eisen stelt aan de weergave van online advertenties en de gebruikersinterface van digitale platformen. De regelgeving, vastgelegd in Decreet 342/2025, wordt op 15 februari 2026 van kracht. Het besluit is gericht op het inperken van opdringerige marketingtechnieken en het verbieden van misleidende interactie-elementen die gebruikers onbedoeld naar externe websites leiden.

Een kernonderdeel van de nieuwe regels betreft de verplichte afbreekbaarheid van commerciële uitingen. Vanaf de ingangsdatum moeten video-advertenties na maximaal vijf seconden door de gebruiker kunnen worden weggeklikt. Voor statische advertenties geldt de eis dat deze direct en zonder vertraging te verwijderen moeten zijn. De wetgeving schrijft expliciet voor dat dit proces met één enkele handeling, oftewel één klik, moet kunnen worden voltooid. Hiermee reageert de wetgever op de internationale trend waarbij techplatformen advertenties steeds langer onontkoombaar maken of verplichten tot langdurige kijktijd.

Naast de tijdsrestricties stelt de verordening specifieke eisen aan de integriteit van de gebruikersinterface om misleiding tegen te gaan. De wet verbiedt het gebruik van sluiticonen die niet functioneren als afsluitmechanisme, maar de gebruiker in plaats daarvan doorsturen naar een commerciële landingspagina. Dergelijke praktijken, waarbij knoppen visueel misleidend zijn vormgegeven, worden door de nieuwe regels strafbaar gesteld.

Verder waarborgt de nieuwe wetgeving de functionaliteit van websites en applicaties door te verbieden dat advertenties over essentiële navigatieknoppen heen worden geplaatst. Elke aanbieder van online content wordt verplicht een gebruikersomgeving te garanderen waarin de navigatie te allen tijde toegankelijk blijft. De wet stelt adverteerders, serviceproviders en uitgevers verantwoordelijk voor de naleving hiervan; zij moeten onrechtmatige advertenties binnen 24 uur na een officieel verzoek verwijderen, op straffe van technische blokkades door de autoriteiten.

Bron 1

De eigenaar van het sociale mediaplatform X, Elon Musk, heeft aangekondigd dat het nieuwe algoritme van de berichtendienst volledig openbaar wordt gemaakt. In een bericht op het platform stelt Musk dat de broncode, inclusief de instructies die bepalen welke content aan gebruikers wordt aanbevolen, binnen zeven dagen open source beschikbaar zal zijn. Het platform ligt al geruime tijd onder vuur vanwege de ondoorzichtigheid van de achterliggende systemen, waarbij critici vrezen dat het algoritme wordt gemanipuleerd om bepaalde ideeën te benadrukken of juist achter te houden.

Europese instanties vinden al langer dat X onvoldoende transparant is over de gehanteerde methodes. In juli vorig jaar verzochten de Franse autoriteiten het bedrijf om het algoritme vrij te geven vanwege zorgen over vooringenomenheid en manipulatie. Destijds weigerde het platform aan dit verzoek te voldoen en bestempelde het de oproep als politiek gemotiveerd. Hoewel Musk nu aangeeft de code alsnog te publiceren, is er door hem geen specifieke reden gegeven voor deze beleidswijziging.

Verschillende techwebsites wijzen erop dat dit niet de eerste keer is dat een dergelijke belofte wordt gedaan. In 2023 deed Musk een soortgelijke toezegging over het algoritme dat de 'For You'-feed regelt. Experts ontdekten toen echter dat de gepubliceerde code niet volledig was en dat de belangrijkste parameters waren weggelaten. Bovendien betrof het destijds een eenmalige actie en werden latere wijzigingen in de code niet gedeeld. Naast de discussie over transparantie meldt recent onderzoek dat de huidige werking van het algoritme de polarisatie onder gebruikers kan vergroten.

Bron 1

Recent onderzoek naar cyberweerbaarheid bij 750 Chief Information Security Officers toont aan dat bedrijven na een cyberincident geconfronteerd worden met langdurige operationele verstoringen. Uit de data blijkt dat geen enkele van de onderzochte organisaties in staat was om de volledige bedrijfsvoering binnen 24 uur te herstellen. In de afgelopen twaalf maanden rapporteerde 55 procent van de organisaties een incident, zoals ransomware of een datalek, dat leidde tot het onbruikbaar worden van mobiele apparaten of systemen op afstand.

De gemiddelde tijd die nodig is voor een volledig herstel ligt bij 57 procent van de bedrijven boven de 4,5 dag. Bij 19 procent van de ondervraagde organisaties liep de herstelduur zelfs op tot twee weken. De financiële impact van deze incidenten is groot; 98 procent van de getroffen ondernemingen rapporteerde kosten tussen de 1 en 5 miljoen dollar voor herstelwerkzaamheden. De gemiddelde herstelkosten bedragen 2,5 miljoen dollar per incident, waarbij de economische schade door de feitelijke downtime van het bedrijf nog buiten beschouwing is gelaten.

Opvallend is dat de strategische focus op cyberweerbaarheid afneemt. Terwijl vorig jaar nog 90 procent van de bedrijven aangaf een specifieke weerbaarheidsstrategie te hebben, is dit percentage gedaald naar 68 procent. Ook het prioriteren van weerbaarheid boven traditionele detectie en respons is gedaald van 83 procent naar 65 procent. Deze daling in voorbereiding vindt plaats in een klimaat waarin de onvermijdbaarheid van IT-incidenten door experts wordt benadrukt.

De verantwoordelijkheid van de Chief Information Security Officer is verschoven naar een leidende rol in het herstelproces na een aanval, een ontwikkeling die door 72 procent van de functionarissen wordt bevestigd. De druk op deze rol is hoog: 61 procent van de organisaties verwacht een garantie op nul incidenten van de security-afdeling. Daarnaast vreest 59 procent van de verantwoordelijken voor persoonlijke gevolgen zoals baanverlies, juridische sancties of aansprakelijkheid bij een ernstige inbreuk met hoge kosten.

Het jaar 2025 kende een recordaantal inbreuken en markeerde de doorbraak van AI-gestuurde aanvallen. Bedrijven moeten zich in toenemende mate aanpassen aan een dreigingslandschap waarin autonome AI-agenten worden ingezet naast traditionele methoden zoals ransomware, datadiefstal en compromittering van de toeleveringsketen.

Bron 1

Stichting Privacy First heeft felle kritiek geuit op het voorstel om het UBO-register opnieuw open te stellen voor een bredere groep gebruikers. Volgens de belangenorganisatie ontbreken noodzakelijke integriteitswaarborgen in het huidige plan, waardoor de veiligheid en privacy van de geregistreerde eigenaren in het geding komen. Het register, waarin de Ultimate Beneficial Owners (de uiteindelijke belanghebbenden) van ondernemingen zijn opgenomen, vloeit voort uit Europese richtlijnen en is bedoeld om financieel-economische criminaliteit, zoals witwassen en terrorismefinanciering, tegen te gaan.

De openbaarheid van deze gegevens is sinds 2022 een juridisch strijdpunt. Het Hof van Justitie van de Europese Unie oordeelde destijds dat een volledig openbaar register een ernstige aantasting vormt van de grondrechten van burgers. Het Hof stelde vast dat de maatregel niet beperkt was tot wat strikt noodzakelijk is en niet voldeed aan het proportionaliteitsbeginsel. Naar aanleiding van deze uitspraak besloot de Kamer van Koophandel het register destijds te sluiten voor het publiek.

Ondanks deze eerdere uitspraak heeft het ministerie van Financiën stappen ondernomen om de toegang stapsgewijs te herstellen. Waar eerder al werd besloten dat overheidsinstanties, toezichthouders zoals De Nederlandsche Bank en de Autoriteit Financiële Markten, en partijen met een wettelijke taak toegang behouden, is er nu een voorstel om ook private partijen met een legitiem belang toe te laten. Via een internetconsultatie, die loopt tot 9 januari 2026, is een lijst met categorieën van personen en organisaties gepresenteerd die aanspraak zouden kunnen maken op inzage, waaronder journalisten en maatschappelijke organisaties.

Privacy First stelt dat het register door dit wijzigingsbesluit feitelijk weer breed toegankelijk wordt zonder dat er afdoende controle plaatsvindt op de intenties van degenen die de gegevens opvragen. De stichting wijst erop dat er geen toetsing is op integriteit bij de aanvragers, wat het risico vergroot dat partijen met kwade bedoelingen de informatie kunnen gebruiken voor cybersecurity-aanvallen of identiteitsfraude. De organisatie beargumenteert dat deze gang van zaken in strijd is met de Nederlandse Grondwet, de Algemene Verordening Gegevensbescherming en het Handvest van de Grondrechten van de Europese Unie.

Het ministerie houdt vast aan het standpunt dat het register een essentieel instrument is voor de bestrijding van zware criminaliteit. Er wordt hiermee tevens vooruitgelopen op de zesde Europese anti-witwasrichtlijn, die naar verwachting medio 2027 volledig van kracht wordt. Critici binnen de maatschappelijke discussie wijzen echter op de verstrekkende gevolgen voor de privacy en veiligheid van individuen, terwijl de effectiviteit van de maatregel in verhouding tot deze inbreuk ter discussie staat.

Bron 1, 2

Een software-update in het Ierse paspoortuitgiftesysteem heeft geleid tot de productie van ongeveer 13.000 defecte reisdocumenten. De Ierse overheid heeft bevestigd dat paspoorten die zijn uitgegeven tussen 23 december 2025 en 6 januari 2026 niet volledig voldoen aan de internationale standaarden voor reisdocumenten.

Het technische defect betreft een printfout in de machineleesbare zone van het document. Door een fout in de software-aansturing ontbreekt de landcode IRL op de betreffende paspoorten. Deze code is noodzakelijk voor de automatische verwerking van identiteitsgegevens door scanapparatuur bij grenscontroles en eGates. Het ontbreken van deze informatie kan ertoe leiden dat de documenten door controlesystemen als ongeldig worden herkend.

De autoriteiten hebben verklaard dat alle getroffen personen inmiddels zijn geïnformeerd over het probleem. Er is een proces in gang gezet waarbij de overheid zelf zorg draagt voor de vervanging van de documenten; burgers hoeven hiervoor geen nieuwe aanvraag te doen of leges te betalen.

Er zijn door de officiële instanties geen specifieke details verstrekt over de exacte technische oorzaak van de softwarefout of de specifieke leverancier die verantwoordelijk is voor de update. Ook over de financiële impact van deze hersteloperatie zijn geen mededelingen gedaan. De focus van de maatregelen ligt op het waarborgen van de internationale acceptatie van de Ierse reisdocumenten.

Bron 1, 2

Sinds de officiële inwerkingtreding van het Australische socialmediaverbod op 10 december 2025 heeft technologiebedrijf Meta bijna 550.000 accounts gedeactiveerd. Volgens opgave van het bedrijf gaat het specifiek om 544.052 accounts op Facebook, Instagram en Threads waarvan wordt aangenomen dat de gebruikers jonger zijn dan 16 jaar. Het verbod is van toepassing op een brede groep platforms, waaronder Facebook, Instagram, Kick, Reddit, Snapchat, Threads, TikTok, Twitch, X en YouTube.

De Australische eSafety Commissioner, die toeziet op de handhaving van de nieuwe wetgeving, staat toe dat platforms accounts van minderjarigen tijdelijk uitschakelen in plaats van deze definitief te wissen. Meta heeft bevestigd deze methode te hanteren. Hierdoor blijft de gebruikersdata bewaard op de servers, zodat accounts weer geactiveerd kunnen worden zodra de gebruiker de wettelijke leeftijd van 16 jaar bereikt.

In het kader van de nieuwe wetgeving is strikte online leeftijdsverificatie verplicht bij het aanmaken van accounts. Over de uitvoering hiervan is een internationaal debat ontstaan. Meta stelt in een recente verklaring dat deze verificatieplicht niet bij individuele sociale media moet liggen, maar bij de exploitanten van appstores. Het bedrijf pleit voor een systeem waarbij appstores de leeftijd van gebruikers controleren en ouderlijke toestemming vereisen voordat applicaties gedownload kunnen worden.

Hoewel de Australische overheid de maatregel presenteert als een noodzakelijke stap voor de veiligheid van jongeren, waarschuwen privacy-experts voor de langetermijngevolgen. Critici stellen dat de infrastructuur die nodig is voor universele leeftijdsverificatie kan dienen als een fundament voor grootschalige surveillance. Zij uiten zorgen dat deze ontwikkeling de privacy van alle internetgebruikers onder druk zet en een risico vormt voor de vrijheid van informatie en online meningsuiting.

Bron 1

Het demissionaire kabinet is niet van plan om stappen te ondernemen tegen de voorgenomen uitbreiding van gegevenscontroles door de Amerikaanse overheid. Demissionair minister Van Weel van Buitenlandse Zaken heeft in beantwoording op Kamervragen aangegeven dat Nederland vooralsnog geen aanleiding ziet om hiertegen in actie te komen. De kwestie betreft plannen van de Amerikaanse Customs and Border Protection (CBP) om van buitenlandse reizigers uitgebreide digitale en persoonlijke informatie te eisen bij de aanvraag van een ESTA-reisvergunning.

De Amerikaanse autoriteiten zijn voornemens om reizigers te verplichten opgave te doen van de sociale media-accounts die zij de afgelopen jaren hebben gebruikt. Naast deze profielen omvat de uitvraag ook e-mailadressen, telefoonnummers en informatie over familieleden. Bovendien wordt er gevraagd naar biometrische data. Naar aanleiding van dit plan zijn in de Tweede Kamer specifieke vragen gesteld over de veiligheid van persoonsgegevens, zoals dna en irisscans, wanneer deze in handen komen van de Amerikaanse autoriteiten.

Minister Van Weel stelt dat het kabinet momenteel niet in detail kan ingaan op de gevolgen van de verschillende onderdelen, omdat nog niet vaststaat of en op welke wijze het Amerikaanse voorstel exact zal worden geïmplementeerd. De bewindsman merkt daarbij op dat het opvragen van biometrische informatie door landen bij het grensbeheer in algemene zin niet ongebruikelijk is. Volgens de minister staat het landen vrij om hierin een eigen afweging te maken.

Er zal vanuit Nederland geen initiatief worden getoond om deze zaak in Europees verband aan te kaarten. Hoewel er vanuit de Kamer werd gevraagd of de minister bereid is om met spoed gezamenlijk met Europese partners op te trekken tegen de Amerikaanse plannen, antwoordde Van Weel dat het kabinet daar op dit moment geen aanleiding toe ziet.

Bron 1

Meta heeft officieel gereageerd op berichten over een grootschalig datalek waarbij gegevens van ruim 17 miljoen Instagram-accounts online zijn verschenen. Het moederbedrijf ontkent dat er sprake is van een inbreuk op de systemen, maar bevestigt wel de reparatie van een softwarefout. Deze kwetsbaarheid stelde derden in staat om op grote schaal e-mails voor wachtwoordherstel aan te vragen voor willekeurige gebruikers. Volgens een woordvoerder zijn de accounts veilig en kunnen de ongevraagde herstelberichten worden genegeerd.

De onrust ontstond nadat er waarschuwingen werden verstuurd over de diefstal van data van 17,5 miljoen accounts. De betreffende dataset wordt momenteel kosteloos verspreid op diverse fora. De gegevens omvatten onder meer gebruikersnamen, volledige namen, Instagram-ID's, e-mailadressen, telefoonnummers en fysieke adressen. Een analyse van de data toont aan dat niet alle records compleet zijn; zo zijn er ruim 6 miljoen e-mailadressen en bijna 3,5 miljoen telefoonnummers beschikbaar, terwijl andere profielen slechts beperkte informatie bevatten.

Er bestaat onenigheid over de herkomst van de informatie. De verspreider van de data claimt dat deze afkomstig is van een ongeverifieerd lek in de Application Programming Interface van Instagram uit 2024. Onafhankelijke onderzoekers suggereren echter dat de data mogelijk afkomstig is van een scraping-incident uit 2022, hoewel Meta aangeeft niet bekend te zijn met incidenten in dat jaar of in 2024. Het is mogelijk dat de dataset een samenvoeging is van oudere lekken, waaronder een bekend incident uit 2017, aangevuld met recentere openbare data.

Aangezien de gelekte dataset geen wachtwoorden bevat, is er geen directe noodzaak voor gebruikers om inloggegevens te wijzigen. Het risico ligt voornamelijk bij gerichte aanvallen zoals phishing en smishing, waarbij criminelen de beschikbare contactgegevens gebruiken om vertrouwen te winnen. Gebruikers die herstelcodes ontvangen zonder deze te hebben aangevraagd, dienen deze te verwijderen. Het inschakelen van tweestapsverificatie wordt door het platform aangeraden als preventieve maatregel.

Bron 1

De Spaanse energieleverancier Endesa en haar operator Energía XXI hebben een omvangrijk beveiligingsincident gemeld waarbij onbevoegden toegang hebben verkregen tot de commerciële systemen. Het bedrijf, dat onderdeel is van de Enel Group, is de grootste elektriciteitsleverancier in Spanje en bedient in totaal ongeveer 22 miljoen klanten in Spanje en Portugal. De inbreuk heeft geleid tot de blootstelling van persoonlijke en contractuele informatie van een aanzienlijk deel van het klantenbestand.

Uit de interne inventarisatie van het bedrijf blijkt dat de hackers toegang hadden tot diverse categorieën persoonsgegevens. Dit betreft onder meer volledige namen, contactgegevens en nationale identiteitsnummers. Daarnaast zijn contractdetails en financiële informatie, waaronder IBAN-nummers van klanten, ingezien. Endesa heeft expliciet bevestigd dat de toegangscodes en wachtwoorden van klantaccounts niet zijn gecompromitteerd tijdens deze aanval.

In de nasleep van de ontdekking heeft de onderneming de betreffende interne accounts geblokkeerd en zijn de logbestanden veiliggesteld voor diepgaand forensisch onderzoek. Er is direct een melding gedaan bij de Spaanse autoriteit voor gegevensbescherming en andere relevante overheidsinstanties. Hoewel het onderzoek nog loopt, zijn de eerste groepen getroffen klanten inmiddels geïnformeerd over het feit dat hun gegevens zijn ingezien.

Buiten de officiële kanalen van de energieleverancier is gebleken dat een externe partij beweert in het bezit te zijn van de buitgemaakte data. Deze partij stelt een database van ongeveer 1 terabyte aan SQL-bestanden te bezitten, die circa 20 miljoen records met klantinformatie zou bevatten. De gegevens worden te koop aangeboden aan een enkele koper. De omschrijving van deze dataset vertoont directe overeenkomsten met de door Endesa bevestigde datatypes die bij de inbreuk betrokken waren.

De operationele continuïteit en de energievoorziening zijn door dit incident niet in gevaar gekomen. Desondanks waarschuwt de onderneming dat de aard van de gestolen gegevens, zoals de combinatie van identiteitsgegevens en bankrekeningnummers, risico's met zich meebrengt op het gebied van identiteitsfraude en phishing. Getroffen klanten wordt geadviseerd alert te zijn op verdachte communicatie en ongebruikelijke activiteiten met betrekking tot hun bankrekeningen of energiecontracten.

Bron 1, 2

Apple en Google hebben officieel bevestigd dat de volgende generatie van Siri gebruik zal maken van Gemini-modellen en Google Cloud. Deze aankondiging bevestigt een meerjarige samenwerking tussen de twee technologiebedrijven. Waar Apple voorheen vertrouwde op eigen modellen voor kunstmatige intelligentie, bleken de prestaties hiervan achter te blijven bij de huidige marktstandaarden. De aankomende versies van de spraakassistent zullen daarom volledig worden aangedreven door de technologie van Google.

De technische infrastructuur ondergaat hierdoor een wijziging. De Foundation Models voor Apple Intelligence worden gebaseerd op de Gemini-modellen en zullen worden gehost op het cloudplatform van Google. Uit een evaluatie van Apple is gebleken dat deze technologie op dit moment de meest capabele basis biedt voor hun toepassingen. Dit moet resulteren in een vernieuwde en meer gepersonaliseerde Siri die later dit jaar beschikbaar komt.

Vanwege het gebruik van externe cloudinfrastructuur heeft Apple expliciet benadrukt dat de privacy van gebruikers gewaarborgd blijft. Het bedrijf stelt dat de integratie geen afbreuk doet aan hun bestaande privacybeleid. De verwerking van gegevens binnen Apple Intelligence blijft plaatsvinden via een hybride model: processen draaien lokaal op het apparaat van de gebruiker of via Private Cloud Compute. Volgens Apple wordt hierdoor de veiligheid van data gegarandeerd, ook nu er wordt samengewerkt met de cloudomgeving van Google.

Bron 1

De Amerikaanse winkelketen Target Corporation heeft de toegang tot zijn interne ontwikkelomgeving beperkt nadat onbekende actoren beweerden de broncode van het bedrijf te hebben gestolen. De actoren claimen een dataset van ongeveer 860 GB aan interne gegevens te bezitten en deze te koop aan te bieden. Als bewijs voor deze claim werden diverse gegevensbestanden en documentatiefragmenten gepubliceerd op een publiek softwareplatform.

De gepubliceerde informatie bevat mappenstructuren en broncode die betrekking hebben op verschillende interne bedrijfsprocessen, zoals de verwerking van cadeaukaarten en digitale portemonnee-diensten. De dataset omvat naar schatting meer dan 57.000 bestanden en mappen. In de bijbehorende documentatie en metadata worden namen van huidige senior technici van het bedrijf vermeld, evenals verwijzingen naar specifieke interne servers en ontwikkelomgevingen. Er is vastgesteld dat de gepubliceerde code niet overeenkomt met de reeds bestaande open-source projecten die het bedrijf officieel naar buiten heeft gebracht.

Naar aanleiding van de meldingen over de publieke beschikbaarheid van deze monsters, zijn de betreffende bestanden offline gehaald. Gelijktijdig is de externe toegang tot de Git-server van de onderneming, git.target.com, beëindigd. Waar deze server voorheen van buitenaf bereikbaar was via een inlogpagina, geeft de website momenteel geen verbinding meer. Uit technische gegevens blijkt dat zoekmachines in het verleden enkele bronnen van dit subdomein hadden geïndexeerd, maar het is niet vastgesteld of dit een rol heeft gespeeld bij de huidige claims van de hackers.

Het bedrijf heeft tot op dit moment geen gedetailleerde verklaring afgelegd over de aard van het incident of de authenticiteit van de volledige dataset bevestigd. De gebeurtenis volgt op een eerdere grootschalige inbreuk bij de retailer in 2013, waarbij klantgegevens werden ontvreemd. In dit huidige geval lijkt de focus echter te liggen op de interne softwarearchitectuur en de private code-infrastructuur van de organisatie.

Bron 1, 2

De Universiteit van Hawaï heeft officieel bevestigd dat haar Cancer Center in augustus 2025 het slachtoffer is geworden van een ransomware-aanval. Bij deze inbreuk hebben aanvallers toegang gekregen tot systemen en zijn er gegevens van onderzoeksdeelnemers ontvreemd. Hoewel de klinische operaties en de directe patiëntenzorg binnen het instituut niet werden belemmerd, zorgde de versleuteling van de getroffen systemen voor aanzienlijke schade en een langdurig herstel- en onderzoekstraject.

Uit een rapportage aan de wetgevende macht blijkt dat de aanval zich concentreerde op een specifiek onderzoeksproject binnen het in Honolulu gevestigde centrum. De universiteit heeft verklaard dat zij de beslissing heeft genomen om met de aanvallers te communiceren om de personen van wie de informatie was gestolen te beschermen. In dit proces is betaald voor een decryptietool en voor de bevestiging dat de illegaal verkregen informatie door de daders zou worden vernietigd. Het onderzoek naar de exacte identiteit van de gedupeerden is nog gaande om hen officieel te kunnen informeren.

De technische analyse van de gestolen bestanden toonde aan dat het merendeel van de data uit geanonimiseerde onderzoeksgegevens bestond. Er werd echter ook een set historische documenten uit de jaren 1990 aangetroffen. In deze bestanden waren burgerservicenummers (Social Security numbers) opgenomen die destijds werden gebruikt voor de identificatie van participanten, voordat de universiteit overstapte op andere methoden. Dit bevestigt dat ook langdurig bewaarde archiefdata een aanzienlijk veiligheidsrisico kunnen vormen bij moderne cyberincidenten.

Naar aanleiding van de inbreuk zijn diverse technische beveiligingsmaatregelen getroffen om de infrastructuur te verstevigen. De universiteit heeft besmette systemen en firewalls vervangen, wachtwoorden gereset en nieuwe endpoint-beveiligingssoftware geïmplementeerd. Tevens zijn externe cybersecurity-experts aangesteld om de veiligheid van het Cancer Center via audits te toetsen. Deze aanval past in een breder patroon van recente incidenten binnen de academische sector, waarbij verschillende universiteiten te maken kregen met datadiefstal via phishing of het misbruiken van kwetsbaarheden in software.

Bron 1

De overheden van Indonesië en Maleisië hebben de toegang tot Grok, de kunstmatige intelligentie-chatbot van het platform X, geblokkeerd. De Indonesische autoriteiten voerden de blokkade op zaterdag in, gevolgd door een vergelijkbare maatregel van de Maleisische overheid op zondag. De directe aanleiding voor de blokkade is het gebruik van de technologie voor het genereren van seksueel expliciete deepfake-afbeeldingen van vrouwen en minderjarigen zonder hun toestemming.

Toezichthouders in beide landen verklaren dat de huidige veiligheidsmaatregelen van X en ontwikkelaar xAI onvoldoende zijn om de creatie en verspreiding van dit type materiaal te voorkomen. Uit onderzoek naar de generatieve functies van Grok bleek dat het systeem in staat was om circa 6.700 afbeeldingen per uur te produceren waarbij personen in seksueel getinte poses of met beperkte kleding werden afgebeeld. Hoewel X de toegang tot de betreffende functies onlangs beperkte tot betalende gebruikers, bleven de zorgen over misbruik van de software bestaan.

De kwestie heeft ook geleid tot juridische stappen in Europa. Op maandag 12 januari 2026 opende de Britse toezichthouder Ofcom een formeel onderzoek naar X onder de Online Safety Act. De toezichthouder onderzoekt of het platform zijn wettelijke plichten heeft verzaakt om gebruikers te beschermen tegen illegale content, waaronder non-consensuele intieme beelden en seksueel misbruikmateriaal van kinderen. Ook in Frankrijk en India zijn inmiddels meldingen gedaan of onderzoeken gestart naar de output van de chatbot.

Bron 1

De hackersgroepering Everest beweert een omvangrijke hoeveelheid data te hebben ontvreemd bij Nissan Motor Co., Ltd. Volgens de claim, die op 12 januari 2026 via ondergrondse kanalen naar buiten kwam, heeft de groep circa 900 gigabyte aan gevoelige informatie buitgemaakt. Deze bewering wijst op een mogelijke diepe infiltratie in de interne systemen van de autofabrikant, wat past in een reeks eerdere incidenten waarbij wereldwijde spelers in de automotive-sector het doelwit waren van cybercriminaliteit.

Om de beweringen te staven, heeft de groep monsters van de vermeende gestolen data gedeeld. Deze monsters zouden onder meer interne documenten, technische dossiers en mogelijk klantgerelateerde gegevens bevatten. Analisten hebben vastgesteld dat de primaire focus van de aanval lijkt te liggen op de operationele en productiefaciliteiten van Nissan in Japan. Hoewel de echtheid van de volledige dataset nog niet onafhankelijk is geverifieerd, wordt dergelijke openbaarmaking vaak gehanteerd als pressiemiddel in een afpersingsscenario om organisaties tot betaling te dwingen.

De werkwijze die aan de Everest-groep wordt toegeschreven, volgt een herkenbaar patroon van datadiefstal en afpersing. Toegang tot bedrijfsnetwerken wordt doorgaans verkregen via kwetsbaarheden in remote services, het misbruik van gestolen inloggegevens voor virtuele particuliere netwerken (VPN) of via phishingcampagnes. Na het binnendringen navigeren de actoren door het netwerk om kritieke bestandsservers en back-upinfrastructuren te lokaliseren. De verzamelde data wordt vervolgens gecomprimeerd en geëxfiltreerd via versleutelde verbindingen, waarbij het uitgaande verkeer vaak wordt gecamoufleerd om detectie te voorkomen.

Het platform X heeft het account @twitter officieel opgeschort. Gebruikers die de profielpagina bezoeken, worden geconfronteerd met een standaardmelding waarin staat dat het account de regels van het platform heeft geschonden. Deze statuswijziging volgde op het circuleren van screenshots van de schorsing, wat duidt op een definitieve stap in het verwijderen van de voormalige merknaam uit de actieve interface.

Het account @twitter was al geruime tijd inactief. Sinds de overname door Elon Musk in 2022 en de rebranding naar X in 2023 werd de handle niet meer gebruikt voor actuele berichtgeving. Met de volledige overgang naar het domein x.com in 2024 bleef het account enkel bestaan als een slapend overblijfsel van de oude identiteit. De huidige schorsing lijkt het proces te voltooien waarbij alle directe verwijzingen naar de naam Twitter op het platform worden gesaneerd.

Hoewel de getoonde melding op de pagina spreekt van een "schending van de regels", is er geen officiële verklaring afgegeven over de specifieke reden van de blokkade. De tekst op het scherm is identiek aan de meldingen bij accounts die zijn stopgezet wegens beleidsovertredingen zoals spam of inauthentiek gedrag. Analyse door interne systemen van het platform suggereert echter dat het een administratieve maatregel betreft om legacy-branding uit te faseren.

De opschorting van dergelijke prominente handles is relevant voor de integriteit van het platform. Door inactieve accounts met een hoge historische waarde af te sluiten, wordt het risico op toekomstige impersonatie of misbruik van de oude naam beperkt. Bezoekers van het platform worden voor updates en informatie nu uitsluitend doorverwezen naar het officiële account @x.

De Autoriteit Persoonsgegevens heeft verduidelijkt dat het delen van camerabeelden van pakketbezorgers in Facebookgroepen en andere sociale media niet is toegestaan. De toezichthouder reageert hiermee op het op grote schaal verspreiden van beelden afkomstig van deurbelcamera's. Het openbaar maken van dergelijk materiaal met als doel personen te beschuldigen of te schande te maken, vormt een ernstige inbreuk op de privacy. De impact op de betrokkene is aanzienlijk, mede omdat de rechtmatigheid van de beschuldiging op dat moment niet is vastgesteld.

Zodra individuen herkenbaar in beeld worden gebracht op foto's of video's, worden deze beelden aangemerkt als persoonsgegevens. Onder de Algemene Verordening Gegevensbescherming is het verwerken en publiceren van deze gegevens aan strikte regels gebonden. Het zonder toestemming plaatsen van beelden op internet of het delen in groepen, zoals op Facebook of in WhatsApp, is in strijd met de privacywetgeving. Dit geldt ook voor situaties waarin burgers menen een misstand te registreren.

Pakketdiensten zoals PostNL en DHL bevestigen dat het online delen van beelden van hun medewerkers in strijd is met de wet. De Autoriteit Persoonsgegevens benadrukt dat de opsporing van verdachten een taak is van de politie en dat de beoordeling van schuld uitsluitend bij de rechter ligt. Het is burgers niet toegestaan om voor eigenrechter te spelen door beelden te publiceren. Indien er een vermoeden is van een strafbaar feit, dienen de camerabeelden direct aan de politie te worden overgedragen in plaats van deze publiekelijk te verspreiden.

Bron 1, 2, 3

Het datalek van Ashley Madison ligt inmiddels meer dan tien jaar achter ons, maar geldt binnen de cybersecuritywereld nog steeds als een ijkpunt voor de impact van datalekken op de persoonlijke levenssfeer. Troy Hunt, oprichter van de datalek-zoekmachine Have I Been Pwned (HIBP), blikt terug op dit incident om de huidige ethische afwegingen rondom databescherming te duiden. Destijds leidde de openbaarmaking van gegevens van de vreemdgaan-site tot publieke vernedering, ontslagen, echtscheidingen en in enkele tragische gevallen tot zelfdoding. Om dergelijke vergaande gevolgen te beperken, introduceerde Hunt het concept van een 'gevoelig datalek', waarbij datasets die ernstige sociale of persoonlijke schade kunnen toebrengen, niet openbaar doorzoekbaar worden gemaakt.

Een cruciaal inzicht dat aan dit beleid ten grondslag ligt, is dat de aanwezigheid van een e-mailadres in een database geen sluitend bewijs vormt van actieve deelname of instemming met het doel van een website. De analyse van de Ashley Madison-data toonde aan dat de werkelijkheid complexer was dan vaak werd aangenomen. Zo stonden er gegevens in van personen die vrijgezel waren ten tijde van registratie, van mensen die een account aanmaakten om een partner te betrappen, en van slachtoffers van identiteitsfraude wiens gegevens zonder hun medeweten waren gebruikt. Het publiekelijk ‘outen’ van individuen op basis van een datalek negeert deze nuances en kan onschuldigen treffen.

De discussie over welke data bescherming verdient, is opnieuw actueel geworden door een lek bij WhiteDate, een datingsite met wit-separatistische kenmerken. Hoewel de ideologie van een dergelijk platform breed maatschappelijk wordt verworpen, stelt Hunt dat persoonlijke morele overtuigingen geen geldige basis vormen om privacyrechten op te schorten. Het selectief opheffen van privacybescherming omdat een groep als onsympathiek wordt ervaren, creëert een precedent waarbij beveiligingsonderzoekers zouden moeten fungeren als morele rechters. Dit beleid wordt consequent toegepast op diverse gemeenschappen waar een sociaal stigma aan kleeft, variërend van de furry-gemeenschap tot specifieke seksuele voorkeuren.

Juridisch gezien wordt dit standpunt ondersteund door definities van gevoelige persoonsgegevens, zoals vastgelegd in regelgeving vergelijkbaar met de Europese AVG. Gegevens die ras, politieke opvattingen, religieuze overtuigingen of seksuele geaardheid onthullen, vallen onder een strikt beschermingsregime. Dit betekent dat zelfs in een hypothetisch geval van een datalek bij een terroristische organisatie, de data op basis van deze criteria als gevoelig geclassificeerd zou moeten worden. Dit is geen inhoudelijke goedkeuring van de organisatie, maar een strikte toepassing van gegevensverwerkingsprincipes.

Er wordt echter een harde grens getrokken bij illegaliteit. Wanneer een dataset onomstotelijk bewijs bevat van strafbare feiten, zoals materiaal dat seksueel misbruik van kinderen toont, wordt een andere procedure gevolgd. In deze gevallen wordt de data niet openbaar gemaakt, maar direct overgedragen aan internationale wetshandhavingsinstanties. Het publiekelijk maken van dergelijke illegale data zou niet alleen de rechtsgang kunnen belemmeren, maar brengt ook het risico met zich mee dat onschuldigen via valse accounts publiekelijk worden beschuldigd van ernstige misdrijven.

De benadering van datalekken wordt uiteindelijk verankerd in Artikel 12 van de Universele Verklaring van de Rechten van de Mens, dat bescherming biedt tegen willekeurige inmenging in privacy en aanvallen op eer en reputatie. Het beleid dat hieruit voortvloeit is consistent: datalekken met wettelijk gedefinieerde gevoelige informatie worden afgeschermd voor het publiek om ernstige persoonlijke schade te voorkomen, terwijl bewijs van illegale activiteiten wordt doorverwezen naar justitie.

Bron 1

De Britse autoriteiten hebben een significante uitbreiding van de Online Safety Act doorgevoerd die directe gevolgen heeft voor de werkwijze van datingapps en socialmediaplatforms. Het ministerie van Binnenlandse Zaken heeft bepaald dat deze diensten verplicht zijn om afbeeldingen van gebruikers te controleren. Het niet naleven van deze nieuwe regelgeving wordt geclassificeerd als een prioritaire overtreding. Techbedrijven die in gebreke blijven, riskeren boetes die kunnen oplopen tot tien procent van de wereldwijde jaaromzet. In het uiterste geval beschikken de autoriteiten over de bevoegdheid om de betreffende dienst in het Verenigd Koninkrijk volledig te verbieden.

De maatregel is geïntroduceerd met als specifiek doel het voorkomen van de verspreiding van ongevraagde naaktafbeeldingen via digitale platforms. Om aan de wettelijke eisen te voldoen, moeten techbedrijven volgens de richtlijnen geautomatiseerde detectiesystemen implementeren. Deze systemen dienen het materiaal proactief te detecteren en te verbergen voordat het zichtbaar wordt voor de ontvanger. Hiermee wordt de verantwoordelijkheid voor moderatie verschoven naar de infrastructuur van de aanbieder.

Tegenstanders van de maatregel, waaronder de organisatie Reclaim the Net, waarschuwen voor de ingrijpende gevolgen voor de digitale privacy en communicatievrijheid. De verplichting dwingt platforms om op grote schaal uploads, berichten en afbeeldingen te scannen, inclusief communicatie in omgevingen die voorheen als privé werden beschouwd. Critici wijzen erop dat geautomatiseerde filters vaak niet in staat zijn om de context of intentie van een bericht correct te beoordelen, wat kan leiden tot het onterecht onderscheppen van rechtmatige communicatie en een inperking van de meningsuiting.

De implementatie van deze verplichting markeert een verschuiving naar een model van proactieve censuur op netwerkniveau. Door bedrijven te dwingen illegale content te voorspellen en te blokkeren voordat deze verschijnt, wordt een groot deel van het internetverkeer onder continue monitoring geplaatst. Volgens critici wordt de privacy van de gebruiker hierdoor gereduceerd tot een secundaire zorg ten gunste van surveillance, wat fundamentele vragen oproept over de balans tussen veiligheid en burgerrechten in het digitale domein.

Bron 1, 2

In een evaluatierapport van het Wetenschappelijk Onderzoek- en Datacentrum (WODC) over de Wet computercriminaliteit III wordt geconcludeerd dat de inzet van de hackbevoegdheid door de politie tijdens rechtszaken nauwelijks inhoudelijk wordt getoetst door zittingsrechters. Tussen april 2021 en april 2024 is in 89 opsporingsonderzoeken een eerste bevel gegeven voor het gebruik van deze bevoegdheid. In totaal zijn hierbij 105 apparaten gehackt, waarbij de inzet zich nagenoeg volledig richtte op mobiele telefoons.

De Wet computercriminaliteit III biedt de politie de mogelijkheid om onder specifieke voorwaarden apparaten van verdachten te hacken voor de opsporing van ernstige criminaliteit. Het onderzoek van het WODC wijst uit dat de daadwerkelijke toepassing van deze bevoegdheid tot nu toe slechts in een zeer klein aantal rechtszaken uitgebreid is besproken. De onderzoekers bestempelen dit als een belangrijk aandachtspunt, aangezien de hackbevoegdheid een ingrijpende inbreuk vormt op de rechten van verdachten en de rechtsstatelijke toetsing hierdoor beperkt blijft.

Een cruciaal aspect bij de inzet van deze bevoegdheid is het gebruik van technische hulpmiddelen. Waar aanvankelijk het uitgangspunt was dat alleen vooraf goedgekeurde middelen mochten worden ingezet om de betrouwbaarheid van gegevens te waarborgen, blijkt dit in de praktijk niet haalbaar. Veelal wordt er gebruikgemaakt van commerciële software waarvan de aard een volledige keuring belemmert. De minister van Justitie en Veiligheid heeft mede hierdoor besloten dat het gebruik van niet of onvolledig goedgekeurde middelen in de toekomst toegestaan blijft.

Bij het gebruik van dergelijke niet-gekeurde middelen ligt de verantwoordelijkheid bij de officier van justitie om tactische waarborgen te treffen. De uiteindelijke weging van het bewijs en de controle op de betrouwbaarheid van de verzamelde gegevens verschuift daarmee naar de zittingsrechter. Het WODC stelt dat deze verschuiving risico's met zich meebrengt zolang rechters de inzet van de bevoegdheid niet structureel inhoudelijk behandelen.

Daarnaast stelt het rapport vast dat het gebruik van commerciële hacktools inmiddels eerder regel dan uitzondering is geworden. Dit roept vragen op over de definitie van deze middelen als uiterst middel, een term die suggereert dat de inzet ervan incidenteel zou moeten zijn. Demissionair minister Van Oosten heeft aangegeven dat het kabinet werkt aan een beleidsreactie naar aanleiding van deze onderzoeksresultaten.

Bron 1, 2

Het gerechtshof Arnhem-Leeuwarden heeft in hoger beroep geoordeeld dat een Nederlands autobedrijf voor vijftig procent aansprakelijk is voor de schade die een klant leed na een hack van het zakelijke e-mailaccount. De zaak draait om een geval van factuurfraude waarbij criminelen inbraken op de systemen van de onderneming en betaalinstructies vervalsten. Het hof stelde vast dat de digitale beveiliging van de autohandelaar ernstig tekortschoot en niet voldeed aan de eisen die de Algemene Verordening Gegevensbescherming stelt. Vanwege een gebrek aan oplettendheid aan de zijde van de klant valt de schadevergoeding lager uit dan oorspronkelijk geëist.

De rechtszaak komt voort uit een incident in juli 2022 waarbij een klant vanuit Australië een voertuig wilde aanschaffen bij het Nederlandse bedrijf. Na eerdere correspondentie en een aanbetaling op een Nederlands rekeningnummer, ontving de koper een e-mail die afkomstig leek van de autohandelaar. In dit bericht werd verzocht het restantbedrag van ruim 27.000 euro over te maken naar een Duits bankrekeningnummer. De e-mail was echter verstuurd door cybercriminelen die zich toegang hadden verschaft tot de mailbox van het autobedrijf. Toen de fraude aan het licht kwam en de levering van de auto uitbleef, stapte de gedupeerde koper naar de rechter.

Tijdens de procedure kwam de kwaliteit van de ICT-beveiliging van het autobedrijf uitvoerig aan de orde. De klant voerde aan dat het bedrijf nalatig was geweest door geen passende technische maatregelen te treffen. Uit verklaringen van de externe systeembeheerder bleek dat het wachtwoord van het e-mailaccount eenvoudig te achterhalen was en dat toegang door derden met slechts enkele pogingen kon worden verkregen. Verder werd vastgesteld dat het bedrijf geen tweefactorauthenticatie toepaste, het wachtwoord deelde met meerdere medewerkers en vertrouwde op standaard scansoftware zonder aanvullende beveiligingslagen. Ook kon niet worden aangetoond dat wachtwoorden periodiek werden gewijzigd of complex genoeg waren.

Het autobedrijf verweerde zich door te stellen dat het beheer van de ICT-omgeving was uitbesteed aan een gespecialiseerd bedrijf en dat zij zelf over onvoldoende kennis beschikten. Het hof verwierp dit verweer en oordeelde dat de autohandelaar als verwerkingsverantwoordelijke onder de privacywetgeving de eindverantwoordelijkheid draagt voor de beveiliging van persoonsgegevens. Het uitbesteden van taken aan een ICT-dienstverlener ontslaat een onderneming niet van de plicht om fundamentele beveiligingsmaatregelen te borgen. Het instellen van een sterk, eigen wachtwoord en het beveiligen van toegang wordt door het hof gezien als een basisvereiste waaraan ook kleinere ondernemingen moeten voldoen.

Ondanks de vastgestelde tekortkomingen in de beveiliging, oordeelde het hof dat de volledige schade niet uitsluitend op het autobedrijf kan worden verhaald. De rechters wezen op de eigen verantwoordelijkheid van de koper. Aangezien de eerdere aanbetaling naar een Nederlands rekeningnummer was overgemaakt, had het verzoek om het restant naar een Duits rekeningnummer over te boeken tot argwaan moeten leiden. Het gebrek aan verificatie bij deze afwijkende betaalinstructie wordt de koper aangerekend als eigen schuld.

In het eindarrest heeft het hof bepaald dat de schade gelijkelijk wordt verdeeld. Het autobedrijf is veroordeeld tot het betalen van 13.500 euro, wat neerkomt op de helft van het verduisterde bedrag. Daarnaast moet de onderneming een bedrag van 1.054 euro aan buitengerechtelijke kosten vergoeden aan de gedupeerde. Deze uitspraak bevestigt opnieuw dat organisaties juridisch kwetsbaar zijn wanneer basisbeveiliging zoals multifactorauthenticatie ontbreekt, ongeacht de grootte van het bedrijf of de inschakeling van externe partijen.

Bron 1

De Amerikaanse digitale beleggingsadviseur Betterment heeft op 13 januari 2026 bevestigd dat onbevoegden zijn binnengedrongen in systemen die door de organisatie worden gebruikt. De aanvallers hebben vervolgens frauduleuze berichten over cryptovaluta verzonden naar een deel van de ruim één miljoen klanten van het platform. Het bedrijf, dat verantwoordelijk is voor het beheer van 65 miljard dollar aan activa, verklaarde dat de inbreuk plaatsvond via een softwareplatform van een externe partij dat wordt ingezet voor marketingdoeleinden.

De aanval begon op 9 januari, toen een ongeautoriseerde partij toegang kreeg tot het marketingaccount en dit gebruikte om een grootschalige phishingcampagne te starten. De verstuurde e-mails waren afkomstig van een officieel subdomein van Betterment en bevatten de onderwerpregel "We’ll triple your crypto! (Limited Time)". In het bericht werd beweerd dat het bedrijf wegens uitstekende jaarprestaties alle stortingen in Bitcoin en Ethereum zou verdrievoudigen. Er werden specifieke wallet-adressen verstrekt en er werd gesuggereerd dat bedragen tot 750.000 dollar in aanmerking kwamen voor de actie.

Hoewel de e-mails vanuit de legitieme infrastructuur van Betterment werden verzonden, bevatte de tekst een foutieve datumverwijzing naar 2025. Betterment heeft verklaard dat de interne technische infrastructuur en de eigenlijke klantaccounts niet zijn gecompromitteerd. Er zijn geen aanwijzingen dat inloggegevens zijn gelekt. Wel heeft de aanvaller toegang gehad tot klantgegevens die in het gecompromitteerde marketingplatform waren opgeslagen. Dit betreft volledige namen, e-mailadressen, woonadressen, telefoonnummers en geboortedata.

In de dagen na de initiële inbreuk werden de problemen voor de organisatie groter. Naast de datadiefstal en de frauduleuze e-mails is het platform doelwit geworden van afpersing en een Distributed Denial-of-Service aanval. Deze aanval zorgde voor aanzienlijke bereikbaarheidsproblemen voor zowel de desktop-omgeving als de mobiele applicaties van de beleggingsadviseur. Gebruikers rapporteerden hierdoor problemen bij het inloggen op hun persoonlijke accounts.

De modus operandi van deze aanval vertoont directe parallellen met een incident op 24 december bij de Amerikaanse maaltijdbezorger Grubhub. In dat geval werd hetzelfde type marketingsysteem gecompromitteerd om een vergelijkbare crypto-zwendel te verspreiden. Betterment heeft aangegeven de beveiligingsmaatregelen tegen social engineering te verscherpen en voert momenteel een nader onderzoek uit naar de volledige omvang van het incident.

Bron 1, 2, 3, 4

De Franse privacytoezichthouder CNIL heeft een boete van in totaal 42 miljoen euro opgelegd aan de internetprovider Free en Free Mobile. De sanctie volgt op een onderzoek naar een omvangrijk datalek dat zich eind 2024 voordeed. Bij dit incident werden de persoonsgegevens van miljoenen klanten ontvreemd, waaronder namen, e-mailadressen, geboortedata en abonnementsgegevens. Van meer dan vijf miljoen abonnees werden bovendien de IBAN-nummers buitgemaakt.

Het onderzoek van de toezichthouder bracht verschillende structurele beveiligingsgebreken aan het licht. De CNIL uitte met name kritiek op de toegangsbeveiliging van het vpn-netwerk dat door personeel werd gebruikt voor werken op afstand. De authenticatieprocedure werd als onvoldoende robuust beoordeeld. Daarnaast bleken de systemen voor het detecteren van afwijkend gedrag op het netwerk niet effectief, waardoor de aanval niet tijdig kon worden gestopt. Gezien de aard en de enorme hoeveelheid verwerkte gegevens oordeelde de toezichthouder dat de getroffen maatregelen inadequaat waren.

Naast de technische tekortkomingen werd vastgesteld dat de communicatie naar de slachtoffers toe onvoldoende was. De verstuurde e-mails bevatten niet de noodzakelijke informatie om klanten de ernst van de situatie te laten begrijpen of hen in staat te stellen passende voorzorgsmaatregelen te nemen. Tevens bleek dat de provider klantgegevens langer bewaarde dan wettelijk noodzakelijk is onder de AVG. De boete bedraagt 27 miljoen euro voor Free en 15 miljoen euro voor Free Mobile. De bedrijven moeten de beveiliging binnen drie maanden op het vereiste niveau brengen en binnen zes maanden alle overtollige data definitief hebben verwijderd.

Bron 1

De Tweede Kamer voert deze maand intensieve gesprekken met IT-deskundigen en overheidsinstanties over de beoogde overname van cloudprovider Solvinity door het Amerikaanse Kyndryl. Centraal staat de vraag welke gevolgen deze eigendomswijziging heeft voor de veiligheid en de soevereiniteit van kritieke nationale systemen. Solvinity faciliteert momenteel de infrastructuur voor DigiD, MijnOverheid en de beveiligde communicatiesystemen van het ministerie van Justitie en Veiligheid.

Op 27 januari vindt een rondetafelgesprek plaats met een breed panel van experts. Onder de genodigden bevinden zich deskundigen zoals Bert Hubert, Paul Timmers en Maaike Okano-Heijmans, evenals vertegenwoordigers van Bits of Freedom, NLDigital, de Vereniging van Nederlandse Gemeenten en de Dutch Cloud Community. De commissie voor Digitale Zaken wil hiermee inzicht krijgen in de risico's die ontstaan wanneer vitale overheidsdata worden beheerd door een organisatie die onder Amerikaanse wetgeving valt.

De kern van de problematiek ligt bij de mogelijke bevoegdheden van buitenlandse autoriteiten. Staatssecretaris Van Marum heeft bevestigd dat de Amerikaanse overheid na de overname juridische kaders kan benutten om toegang te eisen tot gegevens die Solvinity voor de Nederlandse staat verwerkt. Hoewel er zorgen zijn geuit over deze afhankelijkheid, heeft de staatssecretaris aangegeven dat de overheid op korte termijn niet eenvoudig kan uitwijken naar alternatieve leveranciers.

Om de risico's op datatoegang door buitenlandse mogendheden te beperken, voert de Nederlandse overheid momenteel overleg met zowel Solvinity als Kyndryl. Deze gesprekken zijn gericht op het vaststellen van specifieke mitigerende maatregelen. De complexiteit van de huidige infrastructuur en de daaraan gekoppelde beheerprocessen maken een directe transitie naar een andere provider technisch en organisatorisch gecompliceerd.

Ter voorbereiding op het debat en het gesprek met de experts wordt op 21 januari een technische briefing georganiseerd. Tijdens deze sessie zullen afgevaardigden van DigiD-beheerder Logius en het ministerie van Binnenlandse Zaken de Kamerleden nader informeren. Gezien de gevoeligheid van de technische specificaties en de beveiliging van de overheidsdienstverlening, zal een deel van deze briefing besloten blijven.

Bron 1, 2, 3

Demissionair minister Hermans van Klimaat en Groene Groei heeft in reactie op Kamervragen laten weten dat de implementatie van Chinese meetsensoren in de nieuwe generatie slimme meters geen bedreiging vormt voor de Nederlandse leveringszekerheid. De vragen werden gesteld door fractieleden van D66, CDA, VVD en ChristenUnie naar aanleiding van berichtgeving over een grote aanbesteding door de regionale netbeheerders Alliander, Enexis en Stedin. De opdracht voor de levering van miljoenen sensoren is onder meer gegund aan Kaifa Technology, een onderneming waarin het Chinese staatsbedrijf China Electronics Corporation een meerderheidsbelang heeft.

De bewindsvrouw benadrukt dat de betreffende sensor een specifieke en beperkte functie heeft binnen het ontwerp van de slimme meter. De module dient uitsluitend voor het digitaal meten van het elektriciteitsverbruik. Uit technisch onderzoek blijkt dat de sensor niet beschikt over een schakelaar of kill-switch. Hierdoor is het via dit onderdeel niet mogelijk om op afstand de energietoevoer naar huishoudens of bedrijven te onderbreken. De minister concludeert hieruit dat de component geen invloed kan uitoefenen op de beschikbaarheid van energie. Daarnaast lopen cruciale processen, zoals de versleuteling van data, de verzending van gegevens naar de netbeheerder en de communicatie met andere apparaten in de woning, via andere componenten en niet via de Chinese meetmodule.

Om de digitale veiligheid te waarborgen is de nieuwe generatie slimme meters modulair ontworpen, waarbij voor elk afzonderlijk onderdeel een risicobeoordeling is opgesteld. Voor het uitlezen van de data hebben de samenwerkende netbeheerders een centraal systeem ontwikkeld. Dit systeem is volledig in eigen beheer opgezet zonder gebruikmaking van buitenlandse fabrikanten. Door toepassing van encryptie en strikte autorisatieprocedures wordt voorkomen dat externe partijen of leveranciers van onderdelen toegang krijgen tot verbruiksgegevens. Volgens de minister is ongeautoriseerd meelezen door de leverancier hiermee technisch uitgesloten.

In het traject voorafgaand aan de gunning hebben de netbeheerders risicoanalyses uitgevoerd en advies ingewonnen bij de Algemene Inlichtingen- en Veiligheidsdienst. De AIVD heeft in overleg met de betrokken partijen een algemeen dreigingsbeeld geschetst ten aanzien van het concept van de nieuwe meters. Mede gebaseerd op deze informatie zijn mitigerende maatregelen geïmplementeerd om eventuele risico's te beheersen. Het kabinet stelt dat de meetmodule een laag risicoprofiel kent en ziet, gezien de genomen waarborgen, geen veiligheidsredenen om in te grijpen in de aanbesteding of de opdracht aan de Chinese leverancier terug te draaien.

Bron 1

Het financiële klachteninstituut Kifid heeft geoordeeld dat een klant van ING geen recht heeft op een schadevergoeding van 84.000 euro na het slachtoffer te zijn geworden van bankhelpdeskfraude. De casus betreft een incident waarbij een klant begin vorig jaar werd benaderd door personen die zich voordeden als medewerkers van de bank en de politie. Onder het voorwendsel van een politieonderzoek werd het slachtoffer bewogen om meekijksoftware te installeren en een vooraf opgesteld script te gebruiken tijdens communicatie met de bank. Tijdens dit proces werden er op naam van het slachtoffer tevens twee nieuwe spaarrekeningen geopend bij bunq.

De bank heeft gedurende het proces meerdere veiligheidsinterventies uitgevoerd. Nadat een eerste overboeking werd geblokkeerd, waarschuwde ING de klant expliciet voor de methodiek van bankhelpdeskfraude en het risico op oplichting. De klant verklaarde echter herhaaldelijk dat de transacties bedoeld waren om gebruik te maken van een hogere spaarrente bij de andere bank. Ook nadat de rekening voor een tweede maal werd geblokkeerd en de klant persoonlijk op een bankkantoor verscheen om met de fraudeafdeling te spreken, bleef hij vasthouden aan deze verklaring. Op basis van de volhardende verklaringen van de klant gaf de bank de rekeningen telkens vrij, waarna het geld naar de rekeningen bij bunq werd overgeboekt.

In de bindende uitspraak stelt het Kifid dat de bank haar zorgplicht niet heeft geschonden. De commissie oordeelt dat de bank voldoende inspanningen heeft geleverd door de klant herhaaldelijk en indringend te waarschuwen voor de specifieke risico's van deze vorm van fraude. Dat de klant desondanks bleef verklaren dat er geen sprake was van oplichting en een alternatieve reden opgaf voor de transacties, komt voor zijn eigen rekening en risico. De bank mocht in deze situatie afgaan op de herhaalde bevestigingen van de rekeninghouder.

Daarnaast oordeelde het Kifid dat de coulanceregeling voor slachtoffers van bankhelpdeskfraude in dit specifieke geval niet van toepassing is. Deze regeling voorziet in een vergoeding wanneer schade ontstaat door directe overboekingen naar rekeningen van derden. In deze zaak werd het geld echter eerst overgemaakt naar rekeningen die op naam van het slachtoffer zelf stonden. Juridisch gezien bleef het geld hierdoor binnen het eigen vermogen van de klant. De uiteindelijke schade ontstond pas toen het geld vanaf die spaarrekeningen naar de daders werd gesluisd. Het Kifid ziet geen grond om de coulanceregeling voor dergelijke situaties op te rekken en heeft de vordering daarom ongegrond verklaard.

Bron 1

Het Australian Cyber Security Centre (ACSC) heeft een officiële waarschuwing afgegeven aan mkb-bedrijven over de veiligheidsrisico's van AI-chatbots. Nu het gebruik van kunstmatige intelligentie binnen het bedrijfsleven toeneemt, wijst de overheidsinstantie op de gevaren van het uploaden van klantdata naar deze platforms. De kern van de waarschuwing is dat dergelijke handelingen kunnen leiden tot datalekken en ernstige schendingen van de privacy.

Een specifiek risico dat door het ACSC wordt benoemd, is de praktijk waarbij AI-providers de door gebruikers geüploade gegevens gebruiken om hun eigen modellen te trainen of te optimaliseren. Vanwege een vaak beperkte technische expertise binnen het midden- en kleinbedrijf bestaat de kans dat de voorwaarden en privacyinstellingen van deze diensten niet correct worden ingeschat. Bedrijven wordt daarom geadviseerd om de configuraties en het privacybeleid van AI-platforms nauwgezet te controleren om te begrijpen hoe hun data wordt opgeslagen en gebruikt.

De waarschuwing volgt op concrete incidenten waarbij gevoelige informatie op straat kwam te liggen. In Australië uploadde een medewerker vorig jaar contactgegevens en medische dossiers naar een AI-systeem, wat een omvangrijk datalek veroorzaakte. Een vergelijkbare situatie deed zich voor bij de gemeente Eindhoven, waar duizenden bestanden met privacygevoelige informatie via openbare AI-websites werden gelekt. In dat geval ging het onder meer om medische gegevens van minderjarigen, BSN-nummers en foto's.

Om de risico's te beheersen, wordt geadviseerd om een strikt intern AI-beleid te hanteren. Dit beleid moet definiëren welke gegevens absoluut niet gedeeld mogen worden met externe AI-platforms. Daarnaast is het noodzakelijk om gegevens die wel worden ingevoerd eerst te anonimiseren of te ontdoen van persoonlijke details, zodat individuen niet direct identificeerbaar zijn via de output of de database van de AI-provider.

Bron 1, 2

Microsoft is begonnen met de automatische uitrol van nieuwe Secure Boot-certificaten voor systemen met Windows 11-versies 24H2 en 25H2. De huidige certificaten, die door de meerderheid van de Windows-apparaten worden gebruikt voor de validatie van UEFI-firmware, zullen vanaf juni 2026 verlopen. Deze update is noodzakelijk om de continuïteit van de veilige opstartprocedure te waarborgen.

Secure Boot is een beveiligingsmechanisme dat voorkomt dat ongeautoriseerde software, zoals rootkits, wordt uitgevoerd tijdens de systeemstart. De UEFI-firmware controleert hierbij de digitale handtekening van bootloaders tegen een database van vertrouwde certificaten. Wanneer certificaten verlopen, verliest het apparaat de mogelijkheid om nieuwe bootloaders te valideren. Hierdoor kunnen Secure Boot-beveiligingsupdates voor pre-boot-componenten niet langer worden toegepast op de betreffende systemen.

De vervanging van de certificaten vindt plaats via een gefaseerde uitrol op basis van apparaatdata. Microsoft identificeert apparaten die in aanmerking komen voor de automatische update door te kijken naar signalen van succesvolle eerdere updates. De nieuwe certificaten worden alleen geïnstalleerd op systemen die een hoge mate van stabiliteit vertonen, om de kans op opstartfouten te beperken.

Voor de zakelijke markt en IT-beheeromgevingen zijn er handmatige methoden beschikbaar om de certificaten te implementeren. Naast de automatische Windows Update-procedure kunnen de certificaten worden gedistribueerd via registerinstellingen, het Windows Configuration System (WinCS) of groepsbeleid. De voorgeschreven procedure voor beheerders omvat het inventariseren van de apparatuur, het verifiëren van de Secure Boot-status via PowerShell en het installeren van relevante firmware-updates van de hardwarefabrikant voordat de nieuwe Microsoft-certificaten worden toegevoegd.

Indien de certificaten niet voor de vervaldatum in de zomer van 2026 zijn bijgewerkt, riskeert een apparaat dat de Windows Boot Manager niet meer correct functioneert of dat nieuwe, noodzakelijke beveiligingsupdates voor de opstartfase niet meer kunnen worden vertrouwd.

Bron 1

De rechtbank in Rotterdam heeft uitspraak gedaan in de zaak rondom gameontwikkelaar Epic Games International en de Autoriteit Consument & Markt. De rechter bepaalde dat de eigenaar van het videospel Fortnite de eerder opgelegde boete van 1,1 miljoen euro definitief moet betalen. Deze sanctie volgt op een besluit van de toezichthouder uit 2024, waarin werd vastgesteld dat het bedrijf zich schuldig maakte aan oneerlijke handelspraktijken die specifiek gericht waren op kinderen. Het bezwaar dat door de ontwikkelaar was aangetekend tegen de aanklacht is hiermee ongegrond verklaard.

De kern van de overtreding betreft de wijze waarop digitale goederen binnen de spelomgeving worden aangeboden. Gebruikers zouden onder druk zijn gezet om items zoals 'emotes' en 'wraps' aan te schaffen door het gebruik van dwingende advertentieteksten en aflopende timers. De rechtbank bevestigt het oordeel van de toezichthouder dat dergelijke methoden, waarbij een kunstmatige druk wordt uitgeoefend op jonge spelers, verboden zijn. Epic Games is door de uitspraak verplicht om naast de betaling van de boete ook operationele wijzigingen door te voeren. Het bedrijf moet wereldwijd de aflopende timers uit de software verwijderen.

In de motivering van het vonnis wordt verwezen naar ondersteunend onderzoek van UNICEF en bevindingen uit wetenschappelijke literatuur. Deze bronnen tonen aan dat kinderen die aankopen doen in online spellen hierover regelmatig spijtgevoelens ervaren en dat jongere spelers gevoeliger zijn voor koopimpulsen. De rechter oordeelde dat de Autoriteit Consument & Markt de opgelegde sancties en maatregelen voldoende heeft onderbouwd. Epic Games mag de bevolen aanpassingen niet terugdraaien.

Bron 1

De Consumentenbond en de Stichting Benadeelden in Actie zijn een juridische procedure gestart tegen ING. De organisaties eisen via de rechter dat de bank volledige openheid van zaken geeft over de afspraken die zijn gemaakt met Google met betrekking tot het gebruik van klantgegevens. De aanleiding voor deze rechtszaak is de beslissing van ING om eind 2024 te stoppen met de eigen mobiele betaal-app. Sindsdien zijn klanten met een Android-toestel die contactloos willen betalen aangewezen op het gebruik van Google Pay.

De eisende partijen maken zich grote zorgen over de privacy van miljoenen bankklanten. Zij stellen dat door de verplichte overstap gevoelige betaalgegevens bij Google terechtkomen. Volgens de Consumentenbond staat de Amerikaanse techgigant bekend om het verzamelen en analyseren van data voor commerciële doeleinden. Hoewel ING verklaart dat er goede afspraken zijn gemaakt ter bescherming van de privacy van klanten, weigert de bank de inhoud van deze overeenkomsten openbaar te maken.

In de praktijk verwijst ING klanten naar de algemene privacyvoorwaarden van Google Pay. De Consumentenbond wijst erop dat in deze voorwaarden staat dat Google betaalgegevens kan verzamelen en analyseren om deze vervolgens in te zetten voor andere diensten. Hierdoor krijgt de techgigant inzicht in het bestedingspatroon, de locaties en de tijdstippen van transacties van individuele consumenten. Sinds de overstap naar Google Pay melden de organisaties een aanzienlijk aantal vragen en klachten van verontruste rekeninghouders.

Hoewel ook andere Nederlandse banken zoals ABN Amro, Rabobank en de Volksbank (dat sinds juli 2025 ASN Bank heet) gebruikmaken van Google Pay, richt de juridische actie zich in eerste instantie op ING vanwege de omvang van de bank. De organisaties trekken daarnaast een vergelijking met Apple Pay voor iPhone-gebruikers. Uit het privacybeleid van Apple zou blijken dat zij geen betaalgegevens bewaren, wat volgens de bond een betere bescherming biedt dan de huidige constructie tussen ING en Google.

Bron

De Cyber Security Raad (CSR) heeft een dringend advies uitgebracht aan het nieuwe kabinet om structureel 690 miljoen euro te investeren in de digitale veiligheid van Nederland. Volgens het onafhankelijke adviesorgaan zijn de huidige investeringen onvoldoende om de digitale weerbaarheid op peil te houden, wat een reëel risico op maatschappelijke ontwrichting met zich meebrengt. De raad benadrukt dat een digitaal weerbare samenleving en economie vragen om een centrale beleidsregie vanuit de overheid en een proactieve uitvoering in nauwe samenwerking met het bedrijfsleven en de wetenschap.

Het geadviseerde bedrag is bestemd voor verschillende kritieke sectoren. De CSR ziet een noodzaak in het versterken van de weerbaarheid van de overheid, de vitale infrastructuur en het bedrijfsleven. Daarnaast moet er specifiek worden geïnvesteerd in digitale autonomie en de voorbereiding op dreigingen die worden aangedreven door kunstmatige intelligentie. Een aanzienlijk deel van de aandacht gaat uit naar de bescherming van burgers tegen cybercriminaliteit en de implementatie van nieuwe wetgeving, waaronder de Cyberbeveiligingswet en de Cyber Resilience Act.

Naast de financiële investeringen wijst de CSR op het groeiende tekort aan cybersecurityspecialisten. Dit tekort wordt niet alleen gezien als een veiligheidsrisico, maar ook als een belemmering voor de economische groei en innovatiekracht van het land. De raad stelt dat grote bedrijven cybersecurity inmiddels vaak tot hun top drie prioriteiten rekenen en roept de overheid op om dit voorbeeld te volgen. De CSR fungeert als een multidisciplinair adviesorgaan waarin zowel publieke als private organisaties en de wetenschappelijke wereld zijn vertegenwoordigd.

Bron

Demissionair minister Heinen van Financiën heeft laten weten dat het kabinet geen voorstander is van het verhogen van de limiet op contante betalingen van drieduizend euro naar tienduizend euro. De bewindsman reageerde hiermee op een motie die het kabinet opriep om de huidige grens aan te passen. Tijdens een recent debat in de Tweede Kamer over de Wet chartaal betalingsverkeer kwam het onderwerp uitvoerig aan de orde, waarbij diverse fracties het belang van contant geld voor de privacy en de persoonlijke vrijheid van burgers benadrukten.

Verschillende partijen voerden aan dat contant geld fungeert als een wettelijk betaalmiddel dat privacy borgt en onafhankelijk is van digitale storingen. Onder meer de SP, SGP, DENK en FVD wezen op de rol van chartaal geld als basisvoorziening en symbool van vrijheid. Zij stelden dat contante betalingen burgers beschermen tegen het verzamelen van transactiegegevens en winkelvoorkeuren door bedrijven of financiële instellingen. Het anonieme karakter van contant geld werd hierbij gepresenteerd als een middel om bemoeienis van buitenaf met het bestedingspatroon te voorkomen.

De discussie vindt plaats tegen de achtergrond van de invoering van het wetsvoorstel Plan van aanpak witwassen, dat vorig jaar door de Eerste Kamer is aangenomen. Sinds 1 januari is in Nederland een verbod van kracht op contante betalingen voor goederen boven de drieduizend euro. Hoewel transacties tussen particulieren zijn uitgezonderd, zal dit verbod bij de verdere implementatie van het Europese anti-witwaspakket in de toekomst ook gaan gelden voor diensten. Binnen de Europese regelgeving bestaat er ruimte om een grens van tienduizend euro te hanteren, maar Nederland heeft specifiek gekozen voor een lagere limiet van drieduizend euro in de strijd tegen witwassen.

Naar aanleiding van deze regelgeving diende Forum voor Democratie een motie in om de limiet alsnog te verhogen naar het Europese maximum van tienduizend euro. Minister Heinen ontraadde deze motie met een beroep op consistent beleid. Hij wees erop dat de wetgeving reeds in zowel de Tweede als de Eerste Kamer is aangenomen na uitvoerige debatten. De Tweede Kamer zal op 27 januari stemmen over de ingediende moties met betrekking tot dit onderwerp.

Bron

De Autoriteit Persoonsgegevens heeft zich kritisch uitgelaten over een wetsvoorstel dat de Nederlandse invulling vormt van nieuwe Europese regels tegen witwassen. De toezichthouder waarschuwt dat deze Implementatiewet ter voorkoming van witwassen en terrorismefinanciering ertoe zal leiden dat de overheid meer gegevens van burgers gaat verzamelen en mogelijk delen. Het is volgens de privacywaakhond nog onduidelijk of dit uitgebreide systeem daadwerkelijk zal leiden tot een afname van witwassen en terrorismefinanciering, terwijl de impact op onschuldige burgers aanzienlijk kan zijn.

Het wetsvoorstel vloeit voort uit een Europees pakket aan maatregelen en introduceert nieuwe poortwachters, waaronder crowdfundingplatformen, handelaren in luxegoederen en professionele voetbalclubs. Naast de oprichting van een nieuwe Europese toezichthouder worden de bevoegdheden van instanties zoals de Financial Intelligence Unit uitgebreid. Dit brengt meer mogelijkheden met zich mee voor samenwerking en het uitwisselen van informatie tussen publieke en private partijen. Concreet betekent dit dat gevoelige persoonsgegevens, zoals nationaliteiten en het burgerservicenummer, vaker verzameld en gedeeld zullen worden.

Volgens de Autoriteit Persoonsgegevens kleven er risico's aan deze werkwijze, met name voor burgers die onterecht als risicovol worden aangemerkt door geautomatiseerde analyses. Dit kan resulteren in extra controles, uitsluiting of onterechte verdenkingen, waarbij het voor de betrokkene vaak onduidelijk is waarom dit gebeurt of welk handelingsperspectief zij hebben. Voorzitter Aleid Wolfsen benadrukt dat dergelijke ingrijpende maatregelen alleen te rechtvaardigen zijn als de noodzaak en effectiviteit onomstotelijk vaststaan. De toezichthouder pleit daarom voor een evaluatie van de wet met specifieke aandacht voor evenredigheid en het risico op discriminatie om het vertrouwen in de overheid te waarborgen.

Bron

De Canadian Investment Regulatory Organization (CIRO) heeft bekendgemaakt dat de persoonlijke gegevens van 750.000 Canadese investeerders zijn gelekt na een geraffineerde phishingaanval. CIRO is de officiële instantie die verantwoordelijk is voor het toezicht op de effectenhandel in Canada. Hoewel het incident oorspronkelijk al in augustus van het voorgaande jaar werd gerapporteerd, is de volledige omvang en het exacte aantal getroffen personen nu pas door de toezichthouder naar buiten gebracht.

De buitgemaakte informatie omvat een breed scala aan gevoelige persoonlijke en financiële gegevens. Het gaat onder meer om geboortedatums, telefoonnummers en het jaarinkomen van de betrokken investeerders. Daarnaast zijn sociale verzekeringsnummers, burgerservicenummers, beleggingsrekeningnummers en volledige rekeningafschriften ingezien of ontvreemd. Het lekken van dergelijke gecombineerde data vormt een aanzienlijk risico voor de getroffenen, aangezien deze informatie direct misbruikt kan worden voor identiteitsfraude en gerichte financiële criminaliteit.

In de officiële verklaring geeft de CIRO aan dat de oorzaak ligt bij een phishingaanval, maar er worden geen technische details gedeeld over de specifieke werkwijze van de aanvallers of de reden waarom de aanval als geraffineerd wordt geclassificeerd. De toezichthouder heeft maatregelen aangekondigd om de schade voor de slachtoffers te beperken. Getroffen investeerders krijgen een aanbod voor twee jaar gratis kredietmonitoring en ondersteuning bij bescherming tegen identiteitsdiefstal. Het incident onderstreept de kwetsbaarheid van centrale toezichthoudende organen die grote hoeveelheden privacygevoelige data beheren.

Bron

Het socialmediaplatform X heeft aangekondigd de richtlijnen voor de AI-chatbot Grok aan te scherpen. De aanpassing moet voorkomen dat gebruikers de tool gebruiken om mensen virtueel te ontkleuren of om afbeeldingen te genereren van bestaande personen in seksueel getinte of weinig verhullende kleding. Deze maatregel wordt doorgevoerd in regio's waar dergelijke handelingen illegaal zijn. In Nederland is het zonder toestemming seksualiseren van beeldmateriaal van anderen, waaronder het creëren van nepnaaktbeelden, strafbaar bij wet.

Ondanks de aankondiging van het platform bleek uit recente tests dat het kort na de bekendmaking nog steeds mogelijk was om dergelijke expliciete afbeeldingen te genereren via de chatbot. Het bericht over de strengere regels werd onder meer gedeeld door Elon Musk. Daarin stelt het platform dat generatieve kunstmatige intelligentie een snelle ontwikkeling doormaakt en dat veiligheidssystemen voortdurend worden aangescherpt in samenwerking met gebruikers, overheden en andere bedrijven.

De druk op het platform nam de afgelopen periode toe nadat bleek dat talloze vrouwen en minderjarigen slachtoffer waren geworden van onvrijwillig gemanipuleerde foto's via Grok. Verschillende internationale toezichthouders zijn inmiddels onderzoeken gestart naar de stroom aan deepfakes die via X worden verspreid. De Britse mediawaakhond Ofcom noemt de recente aanpassingen een welkome ontwikkeling, maar zet het lopende onderzoek naar de chatbot voort. Elders in de wereld worden strengere maatregelen overwogen; de Filipijnen werken aan een verbod en Indonesië blokkeerde de toegang tot de AI-tool onlangs al tijdelijk.

In Nederland heeft demissionair minister Van Oosten van Justitie en Veiligheid de praktijken rondom het digitaal 'uitkleden' van personen als verwerpelijk bestempeld. De minister wijst op de grote impact van online seksueel misbruik, mede omdat de deepfakes nauwelijks van echt beeldmateriaal te onderscheiden zijn. Er wordt momenteel onderzocht of een algeheel verbod op dergelijke AI-toepassingen in Nederland wenselijk en uitvoerbaar is. Anti-misbruikorganisatie Offlimits pleit reeds voor een dergelijk verbod en stelt dat er geen legitieme reden is voor het bestaan van tools die deepnudes kunnen vervaardigen, zeker wanneer deze eenvoudig toegankelijk zijn via een wereldwijd socialmediaplatform.

Bron

Demissionair minister Foort van Oosten van Justitie onderzoekt momenteel de wenselijkheid en juridische haalbaarheid van een verbod op AI-tools die in staat zijn personen digitaal uit te kleden. Het ministerie heeft dit bevestigd na recente ophef rondom dergelijke toepassingen waarbij specifiek de tool Grok van X-eigenaar Elon Musk onder vuur ligt. De bewindsman kwalificeert de mogelijkheid om mensen via deze applicaties in diskrediet te brengen als buitengewoon verwerpelijk en wijst op de enorme impact die online seksueel misbruik heeft op slachtoffers. Hoewel het vervaardigen van naaktbeelden zonder toestemming reeds strafbaar is onder de huidige wetgeving, wordt een specifiek verbod op de applicatie zelf door het ministerie omschreven als een complexe kwestie die geen snelle oplossing kent.

De juridische complexiteit wordt mede bepaald door Europese regelgeving. Volgens Sarah Eskens, universitair docent recht en technologie aan de Vrije Universiteit Amsterdam, zou Nederland op basis van de Digital Services Act (DSA) in theorie over kunnen gaan tot een blokkade van diensten zoals Grok. De DSA reguleert online diensten door een balans te zoeken tussen de vrijheid van meningsuiting, de vrijheid van ondernemerschap en de bescherming van gebruikers op online platforms. Het plegen van strafbare feiten via een digitaal platform is niet per definitie voldoende grond om een dienst direct te verbieden. Een dergelijk verbod in Nederland zou volgens de deskundige volgen op een langdurig en zorgvuldig proces met diverse juridische waarborgen.

Internationaal hebben verschillende landen reeds stappen ondernomen tegen de omstreden AI-toepassing. De Filipijnen hebben Grok geblokkeerd omdat de dienst de veiligheid van kinderen in gevaar zou brengen en ook in Indonesië is de tool niet beschikbaar. In Maleisië is de toegang beperkt en in Europa onderzoeken het Verenigd Koninkrijk en Frankrijk of de chatbot in strijd handelt met nationale wetgeving. Zelfs in de Verenigde Staten, waar de middelen om dergelijke diensten te bestrijden beperkter zijn, heeft de procureur-generaal van Californië een onderzoek ingesteld naar het bedrijf xAI. Uit Amerikaans onderzoek blijkt dat de chatbot per uur duizenden seksuele deepfakes genereert van personen die daar geen toestemming voor hebben gegeven.

Naar aanleiding van de onderzoeken in diverse landen heeft de AI-dienst op platform X aangekondigd dat de functionaliteit om mensen digitaal uit te kleden zal verdwijnen voor betalende gebruikers. Voor niet-betalende gebruikers was deze optie al uitgeschakeld. Het bedrijf heeft hierbij wel de kanttekening geplaatst dat het de seksueel getinte deepfakes alleen verbiedt in landen waar het delen van dergelijke beelden expliciet in strijd is met de lokale wetgeving.

Bron

De Russische berichtendienst Max Messenger is getroffen door een omvangrijk datalek waarbij de gegevens van 15,4 miljoen accounts zijn gecompromitteerd. De applicatie werd vorig jaar door de Russische overheid geïntroduceerd als een nationaal alternatief voor buitenlandse platforms zoals WhatsApp en Telegram. De gelekte informatie bevat volledige namen, gebruikersnamen en geverifieerde telefoonnummers van de gebruikers.

Het platform staat bekend om de nauwe banden met de overheid en de mogelijkheden voor surveillance van burgers. De authenticiteit van de buitgemaakte data wordt ondersteund door aangetroffen gegevens van prominente figuren, waaronder Brykin, een afgevaardigde van de Staatsdoema. Dit incident onderstreept de risico's van gecentraliseerde nationale communicatieplatforms die door overheden worden gepromoot als veilig alternatief voor internationale applicaties.

De breuk toont aan dat het vervangen van buitenlandse apps door nationale infrastructuren geen garantie biedt voor de veiligheid van persoonsgegevens. Hoewel dergelijke platforms vaak worden gepresenteerd als een middel om digitale soevereiniteit te waarborgen, blijven ze kwetsbaar voor cyberaanvallen. Voor gebruikers uit Nederland en België die zakendoen of contacten onderhouden in deze regio, illustreert dit voorval het belang van kritische evaluatie bij het gebruik van specifieke nationale communicatiediensten.

TikTok heeft vandaag, 16 januari 2026, aangekondigd dat het de komende weken in Europa nieuwe technologie zal implementeren om de leeftijd van zijn gebruikers te schatten. Deze maatregel is bedoeld om accounts te identificeren die mogelijk door kinderen jonger dan 13 jaar worden beheerd. Indien het platform vermoedt dat een account door een minderjarige wordt gebruikt, zal het account worden geblokkeerd en uiteindelijk verwijderd.

Gebruikers die bezwaar maken tegen een dergelijke blokkade zullen een leeftijdsverificatieprocedure moeten doorlopen. TikTok biedt verschillende methoden voor deze verificatie. Een van de opties is het uploaden van een kopie van een identiteitsbewijs in combinatie met een selfie. Daarnaast kunnen gebruikers een foto met een ouder of voogd indienen. Een andere mogelijkheid is het verstrekken van creditcardgegevens. Tenslotte biedt TikTok ook een gezichtsscan aan, waarbij gebruikers een selfie moeten uploaden. Het systeem zal vervolgens een schatting maken of de gebruiker 18 jaar of ouder is.

De technologie die TikTok inzet, zal verschillende indicatoren analyseren, waaronder de informatie die gebruikers zelf delen, zoals hun profielgegevens, de video's die ze publiceren en ander gedrag op het platform. Het doel is om een accurate schatting te maken van de leeftijd van de gebruiker.

TikTok benadrukt dat de verstrekte gegevens uitsluitend zullen worden gebruikt voor de leeftijdscontrole en dat de privacy van de gebruikers wordt gewaarborgd. Het platform streeft ernaar een veilige omgeving te creëren, vooral voor jonge gebruikers, en deze nieuwe maatregelen zijn een onderdeel van die inspanning. Het bedrijf heeft de aankondiging gedaan via zijn eigen website, waar meer details over de implementatie en de verschillende verificatiemethoden te vinden zijn. Gebruikers worden aangemoedigd de informatie op de website te raadplegen voor een volledig begrip van de nieuwe procedures.

Het is nog onduidelijk welke impact deze veranderingen zullen hebben op het gebruik van TikTok in Europa, maar het bedrijf lijkt vastbesloten om de leeftijdsgrenzen op het platform te handhaven en de veiligheid van minderjarige gebruikers te beschermen.
Bron

Een federale Amerikaanse rechter heeft een rechtszaak verworpen die was aangespannen door aandeelhouders tegen CrowdStrike, naar aanleiding van de wereldwijde ICT-storing die het cybersecuritybedrijf in juli 2024 veroorzaakte. De aandeelhouders beschuldigden CrowdStrike ervan hen te hebben misleid door te verhullen dat de software van het bedrijf onvoldoende werd getest en dat de kwaliteitscontroles tekortschoten. De claim volgde op de release van een defecte software-update door CrowdStrike in juli 2024, die resulteerde in het uitvallen van miljoenen computers wereldwijd. De storing wordt beschouwd als een van de grootste in de geschiedenis van de ICT.

De rechter oordeelde dat de aandeelhouders er niet in zijn geslaagd om overtuigend aan te tonen dat uitspraken van bestuurders van CrowdStrike onjuist of misleidend waren, of dat deze met de intentie tot fraude waren gedaan. De aanklagers beweerden dat CrowdStrike geen adequate "testplannen en quality assurance team" had. Zij baseerden zich hierbij op citaten van voormalige medewerkers en stelden dat het management prioriteit gaf aan snelheid, met als doel de winst te maximaliseren.

Volgens de rechter waren de door de aandeelhouders aangevoerde uitspraken onvoldoende om te bewijzen dat CrowdStrike of de directie een plan had om opzettelijk fraude te plegen.

CrowdStrike heeft in een reactie aan persbureau Reuters laten weten tevreden te zijn met de beslissing van de rechter om de zaak te verwerpen. De aandeelhouders hebben aangegeven de uitspraak te bestuderen en te overwegen of verdere stappen worden ondernomen. De publicatie van de defecte update in juli 2024 had een aanzienlijke impact op de financiële positie van CrowdStrike; de aandelenkoers daalde met 32 procent in elf dagen, wat leidde tot een verlies van 25 miljard dollar aan marktwaarde. De uitspraak van de rechter brengt voorlopig een einde aan de juridische nasleep van deze gebeurtenis. De focus zal nu liggen op de vraag of CrowdStrike maatregelen heeft getroffen om herhaling van dergelijke incidenten in de toekomst te voorkomen.
Bron

Demissionair minister Hermans van Klimaat waarschuwt voor de potentiële risico's die gepaard gaan met de afhankelijkheid van buitenlandse clouddiensten en dominante techbedrijven bij de digitalisering van het Nederlandse energiesysteem. De waarschuwing komt te midden van de presentatie van de Actieagenda Digitalisering van het Energiesysteem (ADE), waarin de digitalisering van het Nederlandse energiesysteem centraal staat.

Volgens minister Hermans is digitalisering cruciaal voor de transitie naar een duurzaam energiesysteem, zoals uiteengezet in het Nationaal Plan Energiesysteem (NPE) dat een visie biedt voor het energiesysteem tot 2050. De ADE behandelt vijf thema's, waaronder de ontwikkeling van een weerbaar elektriciteitssysteem. Hermans benadrukt dat de digitalisering naast kansen ook uitdagingen met zich meebrengt, waarbij cyber- en fysieke weerbaarheid essentieel zijn voor een veilige en betrouwbare energievoorziening.

De minister benadrukt de noodzaak van weerbaarheid tegen zowel natuurlijke als niet-natuurlijke dreigingen, en het belang van veerkracht bij eventuele verstoringen. Een belangrijk punt van zorg is het voorkomen van ongewenste afhankelijkheden, met name van buitenlandse clouddiensten en dominante techbedrijven. De ADE onderstreept dat er momenteel onvoldoende controle is over cruciale digitale capaciteiten, wat de digitale soevereiniteit in gevaar brengt.

De agenda wijst erop dat veel digitale diensten momenteel in handen zijn van grote, vaak buitenlandse, techbedrijven. Het grootschalig toepassen van deze diensten in het elektriciteitssysteem creëert het risico dat ze als drukmiddel kunnen worden ingezet. Bovendien bestaat het potentieel dat buitenlandse overheden via 'achterdeurtjes' toegang kunnen krijgen tot gevoelige informatie. Hoewel de ADE erkent dat volledige autonomie niet realistisch is gezien de aanzienlijke investeringen en technische complexiteit die het zelf ontwikkelen van digitale diensten vereist, wordt de vraag gesteld in hoeverre er bereidheid is te investeren in digitale autonomie binnen de Nederlandse energiesector.
Bron

De Canadian Investment Regulatory Organization (CIRO) heeft bevestigd dat ongeveer 750.000 beleggers het slachtoffer zijn geworden van een cyberincident dat vorig jaar plaatsvond. De zelfregulerende organisatie, die onafhankelijk is van de Canadese overheid, houdt toezicht op alle beleggings- en beleggingsfondsdealers in het land, naast de handelsactiviteiten op de Canadese schuld- en aandelenmarkten.

CIRO kon de omvang van het datalek bevestigen na een "geavanceerde phishing-aanval" die in augustus werd ontdekt. Na "meer dan 9.000 uur" forensisch onderzoek door een "toonaangevende externe forensisch IT-onderzoeker," verklaarde CIRO dat het contact opneemt met de getroffen klanten om te bevestigen dat de daders mogelijk een breed scala aan persoonlijke informatie hebben gecompromitteerd, hoewel inloggegevens niet in gevaar waren.

"De volgende informatie is mogelijk beïnvloed: geboortedata, telefoonnummers, jaarinkomen, socialeverzekeringsnummers, door de overheid uitgegeven ID-nummers, beleggingsrekeningnummers en rekeningafschriften," aldus CIRO. De organisatie zei het ten zeerste te betreuren dat het incident heeft plaatsgevonden en bood haar excuses aan "voor eventuele ongemakken of bezorgdheid."

"Er zijn momenteel geen aanwijzingen dat de informatie is misbruikt. We blijven de situatie monitoren op kwaadaardige activiteiten en hebben geen bedreigingsactiviteiten of blootstelling op het dark web vastgesteld," aldus de organisatie. Getroffen beleggers worden twee jaar creditmonitoring en bescherming tegen identiteitsdiefstal aangeboden "bij beide grote kredietagentschappen."

Chief executive Andrew Kriegler zei: "We zijn vastbesloten om het goed te doen voor degenen die persoonlijk getroffen zijn. We nemen onze rol van openbaar belang zeer serieus. Zaken van privacy en veiligheid zijn uiterst belangrijk voor ons, net als onze leidende organisatiewaarden van transparantie en verantwoording. Daarom blijven we ons inzetten voor de verdere versterking van onze eigen cyberbeveiligingsdefensie en gegevensbeveiligingspraktijken en voor de ondersteuning van de voortdurende inspanningen van de bredere beleggingsindustrie."

Bron

De Amerikaanse immigratiedienst ICE maakt gebruik van tools om de locatiedata van smartphones te monitoren. Dat blijkt uit onderzoek van '404 Media'. Met tools als 'Tangles' en 'Webloc' kan ICE zones selecteren en zien welke smartphones daar aanwezig waren, of een specifieke smartphone volgen. Deze data, vaak afkomstig van apps, wordt mogelijk gebruikt om personen van hun werkplek te halen en uit te zetten, of om actievoerders te intimideren.

Er is discussie over de wettelijkheid hiervan, aangezien ICE stelt geen rechterlijke toestemming nodig te hebben omdat ze commerciële locatiedata gebruiken. Sofie Royer, docent veiligheid en mensenrechten aan de VUB en onderzoeksexpert cyberveiligheid aan de KU Leuven, benadrukt in de podcast 'Het uur van de waarheid' dat locatiedata zeer privacygevoelig zijn. Ze waarschuwt dat het een grote inkijk in privélevens geeft en informatie kan onthullen over iemands werk of politieke voorkeur.

In Europa gelden strengere privacyregels. Royer legt uit dat telecomoperatoren locatiedata moeten bewaren voor eventueel gerechtelijk gebruik, maar dat er discussie hierover is. Commerciële apps vragen vaak toestemming voor locatiedata, maar veel mensen geven dit zonder erover na te denken. Hoewel de GDPR bedrijven verbiedt data zomaar door te verkopen en boetes oplegt bij overtreding, blijven er risico's.

Royer adviseert voorzichtig te zijn met locatiedata, ondanks de wettelijke waarborgen in Europa. Ze waarschuwt dat wat begint bij het opsporen van criminelen, kan uitmonden in intimidatie van andersdenkenden. Ze raadt aan om smartphone-instellingen te controleren en onnodige toestemmingen voor locatiedata uit te schakelen.

Bron

Het wijdverspreide vermoeden dat smartphones gesprekken van gebruikers afluisteren om gerichte advertenties te tonen is onterecht, maar heeft wel een negatieve impact op het publieke vertrouwen in technologie. Hoewel veel mensen de ervaring delen dat zij kort na een gesprek online advertenties zien over datzelfde onderwerp, is nooit aangetoond dat bedrijven daadwerkelijk audio-opnames maken voor marketingdoeleinden. De verklaring voor dit verschijnsel ligt in de geavanceerde methoden waarmee bedrijven internetgedrag volgen en analyseren.

Volgens Dave Maasland van cybersecuritybedrijf ESET Nederland beschikken bedrijven over enorme hoeveelheden data waardoor zij het gedrag van gebruikers zeer nauwkeurig kunnen voorspellen. Door het combineren van zoekopdrachten, klikgedrag en de tijd die op specifieke pagina's wordt doorgebracht, worden gedetailleerde digitale profielen opgesteld. Deze profielen bevatten informatie over interesses, woon- en werksituaties en sociale kringen. De voorspellende waarde van deze data is inmiddels zo groot dat het voor gebruikers kan aanvoelen alsof hun gedachten worden gelezen of gesprekken worden onderschept.

Onderzoek van Dong Zhang aan de Universiteit van Amsterdam bevestigt dat het gevoel van surveillance directe gevolgen heeft voor de interactie met technologie. Gebruikers reageren negatiever op advertenties, merken en platforms wanneer zij het gevoel hebben te worden bespied. Uit haar proefschrift blijkt dat een aanzienlijk deel van de gebruikers probeert de privacyinstellingen aan te passen, terwijl anderen een gevoel van machteloosheid ervaren en geloven dat zij de controle over hun persoonlijke gegevens definitief zijn verloren.

Een belangrijke oorzaak voor het wantrouwen is het gebrek aan transparantie bij grote technologiebedrijven. Gebruikers weten vaak dat er data worden verzameld, maar het proces van dataverwerking blijft onduidelijk. Hoewel platformen zoals Google en Meta tools aanbieden zoals het Accountcentrum of Mijn advertentiecentrum om inzicht te geven in profielen, zijn deze instellingen vaak moeilijk te vinden. Zolang bedrijven niet volledig open zijn over de exacte werking van hun algoritmen en dataverzameling, zullen de vermoedens over meeluisterende apparatuur waarschijnlijk blijven bestaan.

Bron

Het nieuwe activistische journalistieke platform Firewall, opgericht door Eric Smit, spreekt zijn zorgen uit over de mogelijke overname van het Nederlandse IT-bedrijf Solvinity door de Amerikaanse multinational Kyndryl. Solvinity beheert de systemen waarop DigiD draait, de vitale infrastructuur die burgers gebruiken voor digitale interactie met de Nederlandse overheid. Volgens Smit brengt een overname door een Amerikaans bedrijf risico's met zich mee voor de soevereiniteit van deze diensten en de privacy van Nederlandse burgers.

De kern van de bezorgdheid ligt bij de Amerikaanse wetgeving, zoals de Cloud Act, die de Amerikaanse overheid de bevoegdheid geeft om gegevens op te vragen bij Amerikaanse bedrijven, ongeacht waar de servers zich fysiek bevinden. Daarnaast wordt gewezen op het risico dat een buitenlandse mogendheid invloed kan uitoefenen op de beschikbaarheid van de diensten. Omdat DigiD essentieel is voor zaken als belastingaangifte, zorg en contact met justitie, wordt het beschouwd als een cruciaal onderdeel van de nationale veiligheid.

Hoewel de Nederlandse overheid via het Bureau Toetsing Investeringen de bevoegdheid heeft om dergelijke overnames te beoordelen in het kader van de Wet Vifo, is er kritiek op het gebrek aan openbaarheid. Besluitvorming over het wel of niet toestaan van een overname en de bijbehorende inhoudelijke argumenten worden doorgaans niet gedeeld met het publiek. Smit stelt dat de geopolitieke verhoudingen zijn veranderd en dat de afhankelijkheid van Amerikaanse technologiebedrijven voor vitale nationale diensten kritisch tegen het licht gehouden moet worden om de open samenleving te beschermen.

Bron

Demissionair minister Heinen van Financiën heeft zich uitgesproken tegen een gefaseerde lancering van de digitale euro waarbij initieel alleen een offline variant beschikbaar zou zijn. De reactie volgt op vragen van de Tweede Kamer naar aanleiding van een rapport van de Spaanse Europarlementariër Navarrete, waarin deze zich sceptisch toont over de noodzaak en het nut van de digitale euro en pleit voor een gefaseerde introductie. Navarrete bepleit het eerst uitrollen van een offline variant, met een latere, aan voorwaarden gebonden, introductie van de online digitale euro. Het doel hiervan zou zijn het verminderen van de afhankelijkheid van niet-Europese providers en het faciliteren van het gebruik van centraal bankgeld in digitale transacties voor EU-burgers.

Minister Heinen deelt deze visie niet. Hij benadrukt dat de online en offline functionaliteiten samen essentieel zijn voor het borgen van de rol van publiek geld in de samenleving en het digitaliserende betalingsverkeer. Hij acht het cruciaal om voorafgaand aan de invoering voldoende zekerheid te bieden aan het Eurosysteem, banken, betaaldienstverleners en bedrijven, zodat zij na een politiek akkoord tijdig met de voorbereidingen kunnen beginnen. Een gefaseerde aanpak zou deze zekerheid ondermijnen.

De minister erkent het belang van private initiatieven zoals Wero, een initiatief dat zich richt op de ontwikkeling van een Europese digitale identiteit en betalingsoplossing. Hij ziet deze private initiatieven als een waardevolle bijdrage aan een divers en weerbaar betaallandschap. Heinen is van mening dat Wero en de digitale euro naast elkaar kunnen bestaan en elkaar zelfs kunnen versterken. Dit impliceert een visie waarin de publieke en private sector samenwerken aan de toekomst van digitaal betalen in Europa. Voor IT- en security professionals impliceert dit dat de ontwikkeling van de digitale euro aanzienlijke kansen en uitdagingen biedt op het gebied van security architecture, privacy-preserving technologies en interoperabiliteit. De discussie over de implementatie strategie toont aan dat deze aspecten centraal staan in de overwegingen van beleidsmakers. Het debat over de verhouding tussen publieke en private initiatieven onderstreept bovendien het belang van open standaarden en concurrentie in de betaalsector.

Bron

Het demissionaire kabinet dringt aan op open source broncode en aangescherpte beveiligingseisen voor de Europese Business Wallets (EBW's). Deze positie is verwoord in een zogenaamde "fiche" als reactie op het voorstel van de Europese Commissie, onderdeel van de Omnibus Digitaal wetgeving. EBW's zijn bedoeld als een digitale kluis voor bedrijven, organisaties en publieke instanties, waarmee bedrijfsgegevens en andere informatie veilig opgeslagen, beheerd en gedeeld kunnen worden.

De EBW faciliteert diverse functionaliteiten, waaronder het delen van elektronische attesteringen (zoals digitale vergunningen), het uitgeven van machtigingen en het veilig verzenden en ontvangen van berichten en data via elektronische aangetekende bezorgdiensten. Het kabinet staat overwegend positief tegenover het Europese initiatief, met name het principe dat het gebruik van de EBW vrijwillig blijft. Er mag geen sprake zijn van ongelijke toegang of behandeling gebaseerd op het al dan niet gebruiken van een EBW, benadrukt het kabinet. De continuïteit van publieke dienstverlening voor bedrijven staat hierbij centraal.

Desondanks uit het kabinet kritiek op de huidige conformiteitseisen en cybersecuritymaatregelen. De huidige "beperkte basisbeveiligingseisen", in combinatie met een summiere toetsing bij toelating en toezicht achteraf, worden als onvoldoende beschouwd om het vereiste betrouwbaarheidsniveau te waarborgen. Het kabinet pleit daarom voor strengere waarborgen vooraf, zoals certificering.

Een ander cruciaal punt van zorg is het ontbreken van een verplichting voor aanbieders om de broncode van hun EBW's openbaar te maken. Het kabinet is van mening dat open source kan bijdragen aan de beveiliging en het vertrouwen in het systeem. Gezien de prominente rol die EBW's naar verwachting zullen spelen in de digitale infrastructuur van de EU en de publieke dienstverlening, acht het kabinet het noodzakelijk te onderzoeken of het openstellen van de broncode de beveiliging en betrouwbaarheid kan versterken. Het kabinet zal zich in de onderhandelingen inzetten voor deze aanscherpingen. De Europese Commissie verplicht alleen de publieke sector om de kernfuncties van de wallet te accepteren, maar voor bedrijven is het gebruik vrijwillig. De Tweede Kamer ontvangt doorgaans een fiche met een samenvatting van de inhoud en de mogelijke gevolgen voor Nederland wanneer Brussel een nieuw wetsvoorstel presenteert.

Bron

Het Franse Ministerie van Sport heeft te maken met een significant datalek waarbij persoonlijke gegevens van 3,5 miljoen huishoudens zijn blootgesteld. De inbraak, die eind december 2025 al werd ontdekt en publiekelijk bekendgemaakt door de Franse autoriteiten, heeft geleid tot het lekken van een omvangrijke dataset met namen, telefoonnummers, adresgegevens en maar liefst 6,5 miljoen e-mailadressen.

De details over hoe de aanvallers toegang hebben weten te verkrijgen tot de systemen van het ministerie zijn tot op heden niet bekendgemaakt. Dit gebrek aan transparantie baart zorgen binnen de cybersecuritygemeenschap, aangezien het herhalen van dergelijke incidenten mogelijk niet kan worden voorkomen zonder inzicht in de kwetsbaarheden.

Het ministerie heeft aangegeven alle getroffen slachtoffers te zullen informeren over het datalek en heeft een melding ingediend bij de Commission Nationale de l'Informatique et des Libertés (CNIL), de Franse privacytoezichthouder. De dataset met gestolen gegevens is reeds enige tijd geleden op een forum gepubliceerd, waardoor het risico op misbruik aanzienlijk is toegenomen.

Een substantieel deel van de buitgemaakte e-mailadressen, te weten 6,5 miljoen, zijn inmiddels toegevoegd aan de datalekzoekmachine Have I Been Pwned. Deze dienst stelt individuen in staat te controleren of hun e-mailadres voorkomt in bekende datalekken. Opvallend is dat 71 procent van de gelekte e-mailadressen al eerder in andere datalekken was verschenen en reeds bekend was bij Have I Been Pwned. Dit suggereert dat veel van de slachtoffers al eerder te maken hebben gehad met blootstelling van hun persoonlijke data.

De omvang van het datalek en de sensitiviteit van de blootgestelde gegevens maken dit incident tot een aanzienlijke zorg. IT- en securityprofessionals worden geadviseerd alert te zijn op mogelijke phishingaanvallen en andere vormen van cybercrime die gebruik kunnen maken van de gelekte informatie. Organisaties met banden met Franse burgers worden aangeraden hun beveiligingsprotocollen te herzien en extra maatregelen te treffen om de impact van dit datalek te minimaliseren. Het incident benadrukt eens te meer het belang van robuuste securitymaatregelen en incident response plannen voor overheidsinstanties en andere organisaties die grote hoeveelheden persoonlijke data beheren.

Bron

De Organisatie voor Economische Samenwerking en Ontwikkeling (OESO) heeft een waarschuwing doen uitgaan over de potentiële risico's van ondoordacht AI-gebruik in het onderwijs. In een rapport over digitaal onderwijs in 2026 benadrukt de organisatie de mogelijkheid dat leerlingen door een te grote afhankelijkheid van AI passieve consumenten van kennis worden, terwijl docenten reduceren tot toezichthouders.

Generatieve AI, met name systemen zoals ChatGPT van OpenAI, heeft snel ingang gevonden in het onderwijs, en biedt diverse mogelijkheden. De OESO erkent de potentiële voordelen, zoals ondersteuning van docenten, gepersonaliseerde uitleg voor studenten, verbeterde online leskwaliteit en algemene efficiëntieverbetering.

Echter, de OESO benadrukt dat deze positieve effecten alleen gerealiseerd kunnen worden met een doordachte, pedagogisch verantwoorde aanpak waarbij de menselijke component centraal staat. Zonder deze aanpak dreigt AI slechts een instrument te worden voor het automatiseren van oppervlakkige taken, zoals het maken van huiswerk, in plaats van het te fungeren als een middel voor verdieping van het leerproces, verbetering van het lesgeven en stroomlijning van institutioneel bestuur en onderzoek.

De OESO pleit voor de ontwikkeling en implementatie van AI-tools die specifiek zijn ontworpen voor educatieve doeleinden, in plaats van het gebruik van generieke AI-chatbots. Beleidsmakers worden opgeroepen om AI te positioneren als een partner in het leerproces en niet als een manier om onderwijstrajecten te omzeilen. De organisatie waarschuwt voor het potentieel van AI als een “spiekbriefje 2.0”, wat kan leiden tot oppervlakkig leren en een gebrek aan diepgaand begrip.

Dit punt wordt ondersteund door de resultaten van een praktijkexperiment in Turkije, waar studenten die gebruik maakten van AI op de korte termijn betere resultaten behaalden. Echter, wanneer deze studenten geen toegang meer hadden tot AI, presteerden ze significant slechter dan studenten die niet op AI hadden gesteund. Dit suggereert dat het gebruik van AI, zonder adequate pedagogische integratie, de lange termijn leerresultaten kan ondermijnen.

Voor IT- en security professionals betekent deze waarschuwing dat bij de implementatie van AI in het onderwijs niet alleen gekeken moet worden naar functionaliteit en efficiëntie, maar ook naar de mogelijke negatieve impact op de leerresultaten en het ontwikkelingsproces van studenten. Security aspecten, zoals het voorkomen van misbruik en het waarborgen van data privacy, zijn hierbij cruciaal. De uitdaging ligt in het creëren van een veilige en effectieve AI-omgeving die de voordelen maximaliseert en de risico's minimaliseert.
Bron

Cybercrime-experts adviseren de Nederlandse overheid om het uitwisselen van informatie over digitale dreigingen en cyberaanvallen te verplichten via de nieuwste versies van STIX (Structured Threat Information Expression) en TAXII (Trusted Automated eXchange of Indicator Information) 2.1. Deze standaarden bieden een gestructureerde en machineleesbare manier om dreigingsinformatie te delen, wat cruciaal is voor het versterken van de digitale weerbaarheid van organisaties.

STIX, een datamodel voor het uitwisselen van dreigingsinformatie, zorgt voor een consistente en eenduidige beschrijving van indicatoren, incidenten en dreigingsactoren. TAXII is het bijbehorende toepassingsprotocol dat de daadwerkelijke uitwisseling van de STIX-geformatteerde informatie faciliteert.

Het Forum Standaardisatie overweegt momenteel om STIX en TAXII 2.1 toe te voegen aan de 'Pas toe leg uit'-lijst, wat zou betekenen dat overheidsinstanties verplicht worden deze standaarden te implementeren. Een internetconsultatie is gestart om feedback van het publiek te verzamelen over de geschiktheid van deze versies.

De nieuwe versie 2.1 biedt aanzienlijke verbeteringen ten opzichte van eerdere versies, waaronder de mogelijkheid om gedetailleerdere informatie over het gedrag van aanvallers te verkrijgen en te delen. Daarnaast wordt de implementatie als eenvoudiger beschouwd. Het Nationaal Cyber Security Centrum (NCSC) maakt al gebruik van STIX en TAXII 2.1. Belanghebbenden kunnen tot 16 februari reageren op het voorstel.

Bron pdf

De Nederlandse overheid ziet een potentiële rol voor zichzelf als inkoper van ICT-diensten om de afhankelijkheid van grote Amerikaanse techbedrijven te verminderen. Dit stelt secretaris-generaal Sandor Gaastra van het ministerie van Economische Zaken in een interview met de Volkskrant. Volgens Gaastra is de technologische afhankelijkheid van landen als de Verenigde Staten en China een aanzienlijk risico voor Nederland en Europa.

Het ontkoppelen van deze afhankelijkheid is complex, maar op de lange termijn wel mogelijk in EU-verband, aldus Gaastra. Hij benadrukt dat er grote investeringen in innovatie nodig zijn en dat de overheid, als belangrijke afnemer van software en clouddiensten, een strategische positie inneemt. Door bewuster te kiezen voor alternatieven kan de overheid de afhankelijkheid afbouwen.

De discussie over de afhankelijkheid komt mede voort uit de migratie van de Belastingdienst naar Microsoft 365, waarbij de fiscus aangaf dat er geen realistisch Europees alternatief beschikbaar was. Gaastra erkent de uitdaging, maar benadrukt de noodzaak van Europese samenwerking om alternatieven te ontwikkelen. Hij wijst erop dat de economische belangen van Nederland en de VS steeds meer uiteenlopen, wat de urgentie van het zoeken naar alternatieven verder vergroot. De overheid kan daarbij, aldus Gaastra, door haar inkoopbeleid een significante invloed uitoefenen.
Bron

De wereldwijde uitrol van OpenAI’s budgetvriendelijke ChatGPT Go abonnement, geprijsd op $8 USD per maand, introduceert significante privacy- en beveiligingsoverwegingen voor cybersecurity professionals die de toegangscontroles van AI-platforms monitoren. De gelaagde prijsstructuur, inclusief een advertentie-ondersteund model voor gratis en Go-gebruikers, verandert fundamenteel het dreigingslandschap voor de blootstelling van organisatiedata.

De introductie van advertenties voor ChatGPT Go- en gratis gebruikers vertegenwoordigt een kritieke verschuiving in OpenAI's dataverwerkingarchitectuur die beveiligingsteams moeten evalueren. Wanneer advertenties in de Amerikaanse markt worden gelanceerd, zullen Go-abonnees dezelfde privacy-afwegingen maken als gratis gebruikers: hun gespreksgegevens, gebruikspatronen en potentieel gevoelige werkproducten kunnen advertentietargetingalgoritmen informeren.

Voor cybersecurity professionals creëert dit een nieuw data-exfiltratiepad waarin organisatie-informatie die via individuele Go-accounts wordt verwerkt, wordt gecommoditiseerd voor reclame. Er ontstaat kruis-tier contaminatierisico wanneer werknemers persoonlijke Go-accounts gebruiken voor werkgerelateerde taken. In tegenstelling tot ChatGPT Plus, Pro, Business en Enterprise tiers, die reclamevrij blijven, vereist Go's gesubsidieerde model via advertentie-inkomsten dataverzameling die verder gaat dan wat Plus-abonnees tegenkomen.

Beveiligingsteams moeten anticiperen op "shadow AI" gebruik, waarbij kostenbewuste werknemers kiezen voor Go in plaats van goedgekeurde enterprise licenties, waardoor onbedoeld bedrijfsdata wordt blootgesteld aan adverteerders. Een belangrijk punt van zorg is de data lineage: wanneer bedrijfsgegevens Go's ecosysteem binnenkomen, worden ze onderworpen aan overeenkomsten voor de verwerking van advertentiedata die niet de contractuele bescherming bieden van enterprise tiers.

De geheugenfuncties die OpenAI aanprijst, "het onthouden van nuttige details over u in de loop van de tijd," vormen een tweesnijdend zwaard voor beveiligingsexperts. Hoewel handig voor gebruikers, vergroot deze persistente opslag de data footprint die beschikbaar is voor aanvallers in potentiële breaches en breidt het uit wat advertentiepartners zouden kunnen inzien.

Organisaties zouden moeten overwegen om Go- en gratis tier-toegang vanuit bedrijfsnetwerken te blokkeren en tegelijkertijd goedgekeurde paden voor Plus-, Pro- of Enterprise-licenties te handhaven. Netwerkmonitoring moet ChatGPT-gebruikspatronen markeren die wijzen op potentiële data-exfiltratie via consumer-grade accounts.

De prijs van $8 USD, hoewel het de toegankelijkheid van AI vergroot, verlaagt tegelijkertijd de drempel voor bedreigingsactoren die op schaal verkenningen uitvoeren of kwaadaardige content genereren. Security operations centers (SOC's) moeten hun dreigingsmodellen bijwerken om rekening te houden met de toegenomen beschikbaarheid van geavanceerde AI-mogelijkheden tegen minimale kosten, vooral voor social engineering en phishing campagnes die profiteren van de mogelijkheden van GPT-5.2 Instant.

Privacy-bewuste sectoren, zoals de gezondheidszorg, financiën en overheid, moeten ChatGPT Go behandelen als een applicatie met een hoog risico en expliciet weigeren in beveiligingsbeleid totdat OpenAI gedetailleerde documentatie publiceert over data-verwerking specifiek voor de advertentie-infrastructuur.
Bron

De Europese burgerrechtenbeweging EDRi (European Digital Rights) dringt aan op een volledig verbod op spyware binnen de Europese Unie. Volgens de organisatie vormt het gebruik van spyware een ernstige bedreiging voor fundamentele rechten en democratische processen. Ondanks diverse schandalen in zeker veertien lidstaten en overtuigend bewijs van mensenrechtenschendingen, hebben zowel de Europese Commissie als de lidstaten tot op heden geen duidelijke rode lijn getrokken, aldus EDRi.

Onderzoek in opdracht van het Europees Parlement heeft aangetoond dat spyware is ingezet tegen oppositieleden en journalisten in landen als Hongarije, Polen, Griekenland, Cyprus en Spanje. Voormalig Europarlementariër Sophie In't Veld, rapporteur van het betreffende onderzoeksrapport, constateerde een gebrek aan politieke wil in Europa om de verspreiding en het gebruik van spyware effectief aan te pakken.

EDRi stelt dat slachtoffers van spyware momenteel nauwelijks ergens terecht kunnen met hun klachten, waardoor commerciële spywareleveranciers ongestoord hun gang kunnen gaan. De Europese spywaremarkt floreert, vaak gefinancierd met publiek geld. Om meer inzicht te bieden, heeft EDRi een "document pool" samengesteld met informatie en standpunten over spyware.

Commerciële spyware, zoals Pegasus en Predator, biedt de mogelijkheid tot volledige controle over de telefoon van een slachtoffer. Dit omvat het activeren van de microfoon en camera voor spionage, het stelen van foto's, bestanden en andere gevoelige informatie, en het volgen van de locatie van het slachtoffer. Spywareleveranciers maken vaak gebruik van kwetsbaarheden in systemen, waarvoor op het moment van de aanval nog geen updates beschikbaar zijn, om de spyware op de toestellen van slachtoffers te installeren.

“Spyware is onverenigbaar met mensenrechten, aangezien het zeer indringend is, geheime toegang tot iemands persoonlijke toestel verschaft en grote hoeveelheden informatie blootstelt, waardoor de integriteit van het apparaat in gevaar komt. Dit maakt het onmogelijk om te voldoen aan de vereisten van de fundamentele rechten noodzakelijkheid en proportionaliteit, en bemoeilijkt toezicht op het gebruik ervan”, aldus EDRi.

De organisatie pleit daarom voor een reeks maatregelen, waaronder:

* Een algeheel verbod op commerciële spyware.
* Een verbod op de handel in kwetsbaarheden en exploits die worden gebruikt voor de verspreiding van spyware.
* Bescherming van ethisch cyberonderzoek en responsible disclosure voor het melden van kwetsbaarheden.
* Een verbod op de aanschaf van producten van spywareleveranciers.
* Het invoeren van gerichte sancties tegen spywareleveranciers.
* Het ter verantwoording roepen van spywareleveranciers voor mensenrechtenschendingen.

De roep om een verbod op spyware komt op een moment dat de zorgen over digitale privacy en veiligheid in Europa toenemen, en de discussie over de balans tussen veiligheid en burgerrechten intensiever wordt. De acties van EDRi kunnen leiden tot nieuwe wetgeving en strengere handhaving op het gebied van spywaregebruik in de EU.
Bron

De Britse overheid is een onderzoek gestart naar de mogelijkheid van een verbod op social media voor gebruikers onder de 16 jaar. Dit volgt op een soortgelijke maatregel in Australië, waar leeftijdsverificatie verplicht is gesteld voor het aanmaken van social media accounts. De BBC berichtte hierover op 20 januari 2026.

Aanleiding voor het onderzoek is een open brief van 61 Britse parlementsleden aan premier Starmer, waarin zij aandrongen op de invoering van een dergelijk verbod, in navolging van het Australische model. De parlementsleden benadrukken dat de verantwoordelijkheid voor leeftijdsverificatie bij de techbedrijven zelf ligt.

De Britse autoriteiten zijn van plan om tijdens het onderzoek input te verzamelen van diverse belanghebbenden, waaronder ouders, jongeren en de bredere maatschappij, om de potentiële effectiviteit van een verbod te evalueren. Eveneens zal worden onderzocht of social media platforms in staat zijn om strengere leeftijdscontroles te implementeren.

Het voorgestelde verbod is echter niet onomstreden. Verschillende organisaties die zich inzetten voor het welzijn van kinderen hebben zich kritisch uitgelaten over het idee. Zij waarschuwen dat een verbod een vals gevoel van veiligheid kan creëren, en dat jongeren en de potentiele gevaren waarmee ze te maken hebben, eenvoudigweg naar andere online platforms zullen verschuiven. Deze organisaties pleiten voor een bredere en meer gerichte aanpak, waarbij de focus ligt op het aanpakken van de onderliggende risico's die verbonden zijn aan het gebruik van social media.

"Een socialmediaverbod is niet het antwoord. Er is een bredere en meer gerichte aanpak nodig", zo luidt hun standpunt, zoals vermeld in een document over de risico's van social media. De discussie over de effectiviteit van leeftijdsverificatie en -beperkingen op het internet is niet nieuw in het Verenigd Koninkrijk. Afgelopen juli werden websites al verplicht om de leeftijd van hun gebruikers te verifiëren, een maatregel die naar verluidt leidde tot een toename van het gebruik van VPN-diensten om deze beperkingen te omzeilen.

De uitkomsten van het onderzoek van de Britse overheid worden met spanning afgewacht, gezien de potentiële impact op de privacy, veiligheid en online ervaring van jongeren in het land. De complexiteit van het probleem, de verdeeldheid onder belanghebbenden en de potentiele onbedoelde gevolgen van een verbod, maken dit tot een uitdagende kwestie voor de Britse overheid.
Bron

Door de opkomst van AI wordt het voor steeds meer mensen lastig om echte berichten van nep te onderscheiden. Dat meldt BNR Nieuwsradio op basis van onderzoek van IT en businessdienstverlener Conclusion onder 1.003 Nederlanders. In dat onderzoek is gekeken naar manieren waarop mensen worden opgelicht, onder meer met tekst of audioberichten die afkomstig lijken te zijn van een bekende.

Volgens het onderzoek speelt de moeite om echt en nep uit elkaar te houden in alle leeftijdsgroepen. Onder jongeren van 16 tot 29 jaar geeft 71 procent aan hiermee te worstelen. Bij 60 tot 69 jarigen loopt dit op tot 85 procent. Het beeld dat “AI nep” niet alleen een probleem is voor één specifieke generatie, komt daarmee nadrukkelijk naar voren.

Een tweede bevinding is dat veel Nederlanders er automatisch van uitgaan dat een bericht of telefoontje van een bekende te vertrouwen is. In het onderzoek geeft 55 procent aan daar vaak niet aan te twijfelen. Binnen de groep 16 tot 29 jaar loopt dit op tot 60 procent, terwijl dit onder 60 tot 69 jarigen 47 procent is. In de context van fraude betekent dit volgens de berichtgeving dat juist de combinatie van vertrouwen en overtuigend nagebootste communicatie risico’s vergroot, omdat de afzender zich met AI geloofwaardig kan voordoen als iemand uit de directe omgeving.

BNR beschrijft dat dit type oplichting kan plaatsvinden met deepfake stemmen of berichten die lijken te komen van iemand die men kent. Daarbij gaat het om misleiding die aansluit op het normale digitale communicatiegedrag van mensen, zoals korte berichten, snelle reacties en informele toon. Het onderzoek koppelt die dagelijkse communicatiepraktijk aan kwetsbaarheid: wie veel en snel digitaal communiceert, kan sneller vertrouwen op herkenbaarheid en context, terwijl juist die elementen met AI kunnen worden nagebootst.

Roel Gloudemans, die volgens het artikel bij het onderzoek betrokken was, zegt dat jongeren extra gevoelig kunnen zijn voor deepfake stemmen en misleidende berichten die steeds overtuigender worden, juist omdat zij gewend zijn snel en veel digitaal te communiceren en daardoor sneller op berichten van bekenden vertrouwen. In dezelfde context wordt vermeld dat Gloudemans oproept tot actie van burgers, bedrijven en de overheid, omdat het risico volgens hem dagelijks groeit en digitale weerbaarheid versterkt moet worden voordat de schade groot wordt.

Voor lezers in Nederland en België is dit onderwerp relevant omdat het direct raakt aan veelvoorkomende fraudescenario’s waarin identiteit en vertrouwensrelaties centraal staan, zoals het voordoen als familielid of bekende via berichten of telefoontjes. Het onderzoek laat daarbij twee concrete spanningsvelden zien die in de praktijk samenkomen: aan de ene kant de toename van overtuigende, door AI ondersteunde misleiding, en aan de andere kant het hoge basisvertrouwen dat mensen hanteren wanneer communicatie lijkt te komen van iemand die ze kennen. Juist die combinatie verklaart waarom dit soort incidenten zich niet beperkt tot een kleine groep, maar breed kan doorwerken over leeftijdscategorieën heen.

Bron

Na een recente storing bij ING Bank, die betalingsvertragingen veroorzaakte, zijn op online platforms discussies ontstaan over de rol van banken in de samenleving, de invloed van overheidsregulering en de afhankelijkheid van digitale betalingssystemen. Gebruikers uitten hun zorgen over vermeende bemoeienis van overheden en veiligheidsdiensten met banken, en de impact hiervan op de persoonlijke financiële vrijheid.

Een veelgehoorde klacht betrof de restricties bij het opnemen van grote sommen contant geld, waarbij een gebruiker aangaf drie dagen bezig te zijn met het opnemen van 50.000 euro, uit angst voor het label "terrorist". Deze frustratie werd door sommigen begrepen, terwijl anderen benadrukten dat dergelijke controles noodzakelijk zijn in de strijd tegen witwassen, drugshandel en terrorismefinanciering. Zij wezen op de trade-off tussen individuele vrijheid en de bescherming van de samenleving als geheel.

De discussie spitste zich toe op de balans tussen het voorkomen van illegale activiteiten en de praktische belemmeringen die strengere regels opleveren voor individuen. De kritiek werd echter gekaderd door de constatering dat dergelijke restricties een minderheid treffen, terwijl de meerderheid van de mensen er geen hinder van ondervindt.

Een ander punt van discussie betrof de afhankelijkheid van Nederlandse bedrijven en consumenten van internationale betalingssystemen zoals Visa en Mastercard. Een gebruiker speculeerde over de catastrofale gevolgen als bijvoorbeeld een Amerikaanse president de dienstverlening aan Nederland zou stopzetten, met als gevolg winkelsluitingen en mogelijk zelfs rellen door medicijn- en voedseltekorten. Deze hypothetische scenario's werden door andere deelnemers afgedaan als onwaarschijnlijk en te vergaand, gezien de complexe economische en politieke relaties tussen de VS en de EU.

De reacties op de ING-storing tonen aan dat, naast de directe praktische gevolgen van een dergelijke storing, er bredere zorgen leven over de rol van banken, de invloed van regulering en de afhankelijkheid van digitale infrastructuur. Professionals binnen de financiële sector moeten zich bewust zijn van deze zorgen en open communiceren over de maatregelen die zij nemen om de integriteit van het financiële systeem te waarborgen, terwijl tegelijkertijd de toegang tot financiële diensten voor de burger wordt gewaarborgd. Het is belangrijk om te erkennen dat deze afwegingen complex zijn en een voortdurende dialoog vereisen tussen de financiële sector, de overheid en de burgers.
Bron

Een onderzoek van beveiligingsbedrijf Intruder heeft een alarmerende hoeveelheid blootgestelde API keys en andere geheime tokens blootgelegd in JavaScript bundles van miljoenen applicaties. Het onderzoek toont aan dat traditionele vulnerability scanners tekortschieten in het detecteren van deze lekken, met name in single-page applicaties (SPA's). De bevindingen benadrukken de noodzaak van meer geavanceerde methoden voor het opsporen van geheimen in de front-end van webapplicaties.

Het Intruder-onderzoeksteam ontwikkelde een nieuwe detectiemethode die specifiek gericht is op het scannen van JavaScript bundles. Na het scannen van 5 miljoen applicaties werden meer dan 42.000 blootgestelde tokens van 334 verschillende typen gevonden. Deze omvatten tokens voor code repositories, project management tools, CAD software, link shorteners, email platforms, webhooks voor chat- en automation platforms en meer.

Traditionele methoden voor het detecteren van applicatiegeheimen, zoals het zoeken naar bekende paden en het toepassen van regular expressions, blijken ontoereikend. Infrastructure scanners missen vaak de JavaScript bestanden die nodig zijn om de pagina te renderen en DAST (Dynamic Application Security Testing) tools worden zelden geconfigureerd om alle applicaties binnen een organisatie te scannen, mede vanwege de hoge kosten en complexiteit. SAST (Static Application Security Testing) tools, die de broncode analyseren, vangen weliswaar hardcoded credentials, maar missen vaak de geheimen die tijdens de build- en deployment-processen worden geïntroduceerd.

De meest impactvolle blootleggingen die Intruder identificeerde, waren tokens voor code repository platforms zoals GitHub en GitLab. Er werden 688 tokens gevonden, waarvan velen nog actief waren en volledige toegang gaven tot repositories. Een voorbeeld hiervan was een GitLab personal access token dat direct in een JavaScript bestand was ingebed. Dit token gaf toegang tot alle private repositories binnen de organisatie, inclusief CI/CD pipeline secrets voor downstream services zoals AWS en SSH.

Ook API keys voor project management applicaties, zoals Linear, bleken kwetsbaar. Een blootgelegde Linear API key gaf toegang tot de gehele Linear instance van de organisatie, inclusief interne tickets, projecten en links naar downstream services en SaaS projecten.

Het onderzoek benadrukt dat "shift-left" controls, zoals SAST en repository scanning, essentieel zijn, maar niet alle mogelijke routes dekken waarlangs geheimen in productie terecht kunnen komen. Geheimen die tijdens de build en deployment worden geïntroduceerd, kunnen deze safeguards omzeilen en in de front-end code belanden. Dit probleem zal naar verwachting toenemen naarmate automatisering en AI-gegenereerde code vaker worden gebruikt.

Intruder pleit voor het gebruik van single-page application spidering om geheimen te detecteren voordat ze in productie komen. Hun tool is nu uitgerust met geautomatiseerde SPA secrets detection. De bevindingen van Intruder onderstrepen de noodzaak voor organisaties om hun security posture te heroverwegen en extra maatregelen te nemen om de blootlegging van gevoelige informatie in hun webapplicaties te voorkomen.
Bron

Een ransomware- en afpersingsgroep genaamd RansomHouse claimt een datalek te hebben veroorzaakt bij Luxshare Precision Industry, een in China gevestigde belangrijke productiepartner en toeleverancier van Apple Inc. De groep heeft een slachtofferprofiel gepubliceerd op hun dark web leak site, waarin Luxshare wordt genoemd en een lijst wordt gegeven van een aantal van hun belangrijkste klanten.

De post van de groep beschrijft de omvang, de omzet en de rol van Luxshare in de sectoren consumentenelektronica, communicatie en automotive. Apple wordt uitgelicht als een belangrijke klant, naast namen als Nvidia, Meta en Qualcomm.

De post beweert verder toegang te hebben tot gevoelige engineering data, waaronder 3D CAD-modellen, PCB ontwerpbestanden en interne documentatie. Dit soort bestanden zouden ernstig zijn voor elke hardwarefabrikant.

De groep heeft ook twee .Onion download links opgenomen, die zogenaamd bewijspakketten en Apple-gerelateerde projectdata aanbieden. Beide zijn gelabeld als niet-wachtwoord vereist, maar geen van beide is momenteel actief. Bij het openen van de links blijkt dat beide domeinen offline zijn.

Daarom zijn er geen voorbeeldbestanden, geen screenshots om te analyseren en geen manier om te verifiëren of er daadwerkelijk data bestaat. De screenshot toont echter een datum van "15/12/2025", waarvan de groep beweert dat dit het moment is waarop de data werd versleuteld.

De huidige status op de pagina luidt "Depends on you," een vage boodschap die lijkt te hinten op lopende onderhandelingen over losgeld of eisen. Niettemin, totdat Luxshare een incident bevestigt of de aanvallers verifieerbare data vrijgeven, blijft de claim slechts dat: een claim.

RansomHouse is rond eind 2021 opgedoken, met zijn eerste bekende activiteit getraceerd naar december van dat jaar. In maart 2022 lanceerde de groep haar dark web afpersingssite. Onderzoekers geloven dat de operatie banden heeft met Rusland of Oost-Europa, op basis van infrastructuur en taalpatronen.

Er is ook een technische overlap met een andere bekende groep. RansomHouse lijkt code te delen met Babuk, een ransomware-operatie die uiteenviel na interne conflicten en een broncodelek. Die connectie heeft geleid tot speculatie dat RansomHouse een rebranding of een afsplitsing van de originele Babuk-crew zou kunnen zijn.

Ondanks dat ze zichzelf een "professionele bemiddelingsgemeenschap" noemen die zich richt op het belichten van beveiligingsfouten, vertellen hun methoden een ander verhaal. De groep functioneert meer als een Ransomware-as-a-Service (RaaS)-organisatie, die bedrijven target via data diefstal en afpersing in plaats van systemen rechtstreeks te versleutelen.

Een Spaans ziekenhuis is door de Spaanse privacytoezichthouder AEPD beboet met een bedrag van 1,2 miljoen euro wegens het verlies van cd's met medische data van een patiënt. De patiënt had de cd's, met daarop MRI-scans, eind 2021 aan het ziekenhuis overhandigd om een vergelijking te kunnen maken met een nieuwe MRI-scan.

Begin 2022 vroeg de patiënt zijn cd's terug, maar het ziekenhuis kon deze niet meer vinden. Na herhaaldelijk navragen in 2024 werd de patiënt door het ziekenhuis geïnformeerd dat niet-opgehaalde spullen na een maand worden verwijderd vanwege beperkte fysieke opslagruimte. Hierop diende de patiënt een klacht in bij de AEPD.

De AEPD startte een onderzoek en concludeerde dat het ziekenhuis meerdere bepalingen van de Algemene Verordening Gegevensbescherming (AVG) had overtreden. De toezichthouder stelt dat de cd's aan het medisch dossier van de patiënt hadden moeten worden toegevoegd. Het ziekenhuis argumenteerde dat de cd's geen medische documentatie waren die door het ziekenhuis zelf was geproduceerd, waardoor de wettelijke opslagtermijn niet van toepassing zou zijn. Daarnaast zou de opslag van de cd's in strijd zijn met het principe van dataminimalisatie.

De AEPD oordeelde echter dat het ziekenhuis artikel 6, 9 en 25 van de AVG heeft overtreden door de gezondheidsgegevens van de patiënt onrechtmatig te vernietigen zonder geldige grondslag. Het ziekenhuis had geen adequate databescherming by design en default geïmplementeerd en de MRI-gegevens eerder verwijderd dan wettelijk verplicht. De AEPD benadrukte dat de cd's integraal onderdeel uitmaakten van de patiëntgegevens.

Het grootste deel van de boete, 1 miljoen euro, is opgelegd wegens het overtreden van artikel 25 van de AVG. Het ziekenhuis had geen procedures voor de verwerking van door patiënten aangedragen gegevens en geen databescherming by design en default geïmplementeerd, zoals vereist door de AVG. Dit houdt in dat de privacybescherming al in het ontwerp van de systemen en processen moet worden meegenomen en standaard actief moet zijn.

Deze zaak benadrukt het belang van een adequaat informatiebeveiligingsbeleid binnen zorginstellingen, in het bijzonder met betrekking tot de verwerking van gevoelige medische data die door patiënten worden aangeleverd. Het illustreert ook de potentieel hoge boetes die kunnen worden opgelegd bij het niet naleven van de AVG, zelfs in gevallen waar er geen sprake is van een cyberaanval of datalek in de traditionele zin. De uitspraak dient als waarschuwing voor alle organisaties die persoonsgegevens verwerken, met name in de gezondheidszorg, om hun dataverwerkingsprocessen grondig te evalueren en te zorgen voor volledige compliance met de AVG.
Bron

De Europese Commissie heeft nieuwe cybersecuritywetgeving voorgesteld die de verwijdering van leveranciers met een hoog risico mandateert. Dit moet de telecommunicatienetwerken beveiligen en de verdediging tegen door staten gesteunde en cybercriminele groepen die kritieke infrastructuur aanvallen, versterken.

Deze stap volgt op jarenlange frustratie over de ongelijke toepassing van de vrijwillige 5G Security Toolbox van de EU, die in januari 2020 werd geïntroduceerd om lidstaten aan te moedigen de afhankelijkheid van leveranciers met een hoog risico te beperken. Hoewel het voorstel geen specifieke bedrijven noemt, hebben EU-functionarissen hun bezorgdheid geuit over Chinese technologiebedrijven (zoals Huawei en ZTE) toen de 5G Security Toolbox werd geïmplementeerd.

Het nieuwe cybersecuritypakket zou de Commissie de bevoegdheid geven om EU-brede risicobeoordelingen te organiseren en beperkingen of verboden op bepaalde apparatuur die in gevoelige infrastructuur wordt gebruikt te ondersteunen. EU-lidstaten zouden ook gezamenlijk risico's beoordelen in de 18 kritieke sectoren van de EU op basis van de landen van herkomst van de leveranciers en de implicaties voor de nationale veiligheid.

"Cybersecuritydreigingen zijn niet alleen technische uitdagingen. Het zijn strategische risico's voor onze democratie, economie en manier van leven," aldus EU-commissaris voor technologie Henna Virkkunen vandaag. "Met het nieuwe Cybersecuritypakket zullen we de middelen hebben om onze kritieke ICT-leveringsketens beter te beschermen, maar ook om cyberaanvallen daadkrachtig te bestrijden. Dit is een belangrijke stap in het veiligstellen van onze Europese technologische soevereiniteit en het waarborgen van een grotere veiligheid voor iedereen."

De wetgeving omvat ook een herziene Cybersecurity Act, ontworpen om de toeleveringsketens van informatie- en communicatietechnologie (ICT) te beveiligen, die mandateert dat buitenlandse leveranciers met een hoog risico uit Europese mobiele telecommunicatienetwerken worden verwijderd.

De herziene Cybersecurity Act zal ook certificeringsprocedures voor bedrijven stroomlijnen, waardoor ze de regeldruk en kosten kunnen verlagen via vrijwillige certificeringsregelingen die worden beheerd door het EU Agentschap voor Cyberveiligheid (ENISA).

Zoals de Commissie verder uitlegde, geeft de nieuwe wetgeving ENISA de bevoegdheid om vroege dreigingswaarschuwingen uit te geven, een enkel toegangspunt voor incidentrapportage te beheren en bedrijven te helpen bij het reageren op ransomware-aanvallen, in samenwerking met Europol en Computer Security Incident Response Teams (CSIRT's).

ENISA zal ook EU-brede certificeringsregelingen voor cybersecurityvaardigheden opzetten en een Cybersecurity Skills Academy opzetten om een Europees personeelsbestand voor cybersecurity op te bouwen.

De Cybersecurity Act zal onmiddellijk van kracht worden na goedkeuring door het Europees Parlement en de Raad van de EU, waarbij de lidstaten één jaar de tijd hebben om de cybersecurityamendementen in de nationale wetgeving te implementeren.
Bron

De Carlsberg Group, een Deense multinational in de bierbrouwerij, is in opspraak geraakt nadat een cybersecurity researcher een kwetsbaarheid ontdekte in de polsbandjes die werden uitgedeeld tijdens een evenement in Kopenhagen. De polsbandjes, bedoeld om bezoekers toegang te geven tot media van het evenement, bleken persoonlijke data te onthullen via een simpele numerieke identificatiecode, zonder adequate authenticatie of bescherming tegen brute-force aanvallen.

Elke polsband bevatte een QR-code die linkte naar een gepersonaliseerde "herinneringen"-pagina. De enige beveiliging van elke bezoekerspagina was echter een 7-cijferige numerieke ID. Een eenvoudig script, uitgevoerd op een enkele laptop, was in staat om snel honderden geldige ID's te vinden, waardoor foto's, video's en de volledige namen van bezoekers werden onthuld.

De onderzoeker achter de ontdekking, Alan Monie van het in het Verenigd Koninkrijk gevestigde Pen Test Partners (PTP), meldde de kwetsbaarheid via het officiële bug reporting kanaal van Carlsberg, een extern disclosure platform. Het werd beoordeeld als een issue met hoge urgentie (CVSS 7.5) en gemarkeerd voor herstel. Na een eerste bevestiging stokte de communicatie echter. Carlsberg voldeed niet aan haar eigen disclosure deadlines en gaf geen bevestiging dat het probleem was opgelost.

Maanden later testte de onderzoeker het systeem opnieuw en bevestigde dat brute-force enumeratie nog steeds mogelijk was. Rate limiting en toegangscontroles, indien al geïmplementeerd, waren ineffectief. Meer dan 150 dagen na de eerste melding, zonder vooruitgang of zinvolle updates, besloot de onderzoeker de bevindingen te publiceren.

De blootgestelde data, volledige namen gekoppeld aan foto's en video's, kwalificeert als persoonlijk identificeerbare informatie (PII) onder de GDPR. Organisaties die dergelijke data verzamelen, zelfs tijdens promotionele evenementen, zijn verplicht deze te beschermen. Het feit dat Carlsberg er niet in is geslaagd die data te beveiligen of adequaat te reageren op een responsible disclosure, kan aanleiding geven tot vragen van toezichthouders.

Om de zaken nog erger te maken, vertelde Carlsbergs disclosure platform, Zerocopter, de onderzoeker dat publicatie van de kwetsbaarheid niet was toegestaan. Dit kwam na maanden van stilte en geen oplossing. Pen Test Partners verwierp de restrictie, stellende dat het in strijd was met responsible disclosure practices. Na meer dan 150 dagen zonder fix of follow-up gingen ze publiekelijk.

Hun blog post is hier beschikbaar. Carlsberg heeft geen publiekelijke verklaring afgelegd over de kwestie. Dit is echter niet de eerste keer dat Pen Test Partners problemen ondervindt met responsible vulnerability disclosure aan vendors. In december 2025 meldden onderzoekers dat Eurostar, de bekende hogesnelheidstrein operator, hen beschuldigde van blackmail nadat ze op verantwoorde wijze kritieke fouten in haar AI-chatbot hadden onthuld. De gang van zaken rondom de Carlsberg-casus benadrukt het belang van snelle respons en transparantie bij de afhandeling van security disclosures, zeker wanneer persoonlijke data in het geding is.
Bron

Een meerderheid in de Tweede Kamer wil op korte termijn debatteren over de afhankelijkheid van Amerikaanse techbedrijven voor cloudvoorzieningen. Het verzoek om het geplande debat te verbreden kwam van GroenLinks-PvdA en de SGP en kreeg voldoende steun. Aanvankelijk stond alleen de voorgenomen overname van cloudbedrijf Solvinity door het Amerikaanse Kyndryl op de agenda. Op infrastructuur van Solvinity draaien DigiD en MijnOverheid en ook een beveiligd communicatiesysteem van het ministerie van Justitie en Veiligheid.

Voor 27 januari is een rondetafelgesprek voorzien waarin diverse experts en organisaties hun visie op de overname aan Kamerleden toelichten. Daarnaast staat voor vandaag een technische briefing gepland over de overname, deels vertrouwelijk, verzorgd door DigiD-beheerder Logius en ambtenaren van het ministerie van Binnenlandse Zaken. Na deze momenten volgt in de Tweede Kamer nog een afzonderlijk debat over de overname.

Tijdens het vragenuur riepen GroenLinks-PvdA en de SGP op om het onderwerp te verbreden naar cloudmigraties naar Amerikaanse bedrijven in het algemeen. Het verzoek omvatte ook extra spreektijd vanwege de technische details en de wens om het debat zo snel mogelijk, bij voorkeur vóór het voorjaarsreces, te plannen. Daarbij werd benadrukt dat de Kamer moet inzetten op digitale strategische autonomie.

Tegenover de NOS lieten verschillende partijen weten dat voorkomen moet worden dat de Amerikaanse overheid toegang kan krijgen tot gegevens van DigiD-gebruikers. Volgens deze partijen zou het kabinet moeten proberen de overname tegen te houden en, als dat niet lukt, het beheer van DigiD bij een andere partij onder te brengen. Eerder gaf demissionair staatssecretaris Van Marum voor Digitalisering aan dat de overheid niet eenvoudig kan vertrekken bij Solvinity.

Bron

Europol publiceert een gezamenlijk rapport dat financiële instellingen een gestructureerde, risicogestuurde werkwijze aanreikt voor de overstap naar post-quantum cryptografie. Het document, getiteld ‘Prioritising Post-Quantum Cryptography Migration Activities in Financial Services’, is bedoeld om de stap te maken van strategisch bewustzijn naar praktische uitvoering. Centraal staat een prioriteringskader dat bepaalt welke systemen en use-cases als eerste moeten worden aangepakt op basis van het specifieke quantumrisico en de tijd en complexiteit die nodig zijn om quantumveilige oplossingen te implementeren.

De voorgestelde methode combineert inhoudelijke en operationele factoren. Daarbij gaat het onder meer om de gevoeligheid en verwachte levensduur van te beschermen data, de mate van blootstelling aan potentiële aanvallers en de mogelijke zakelijke impact bij compromittering. Daarnaast weegt het rapport concrete uitvoeringsaspecten mee, zoals de beschikbaarheid van oplossingen, de implementatiekosten en afhankelijkheden van derden. Op die manier helpt het organisaties onderscheid te maken tussen situaties die langdurige planning vergen en use-cases waar vroegtijdig handelen met beperkte verstoring mogelijk is.

Het rapport noemt verschillende directe verbeteringen als “no-regret” maatregelen. Voorbeelden zijn de inzet van hybride post-quantum versleuteling voor publiek toegankelijke websites en het opsporen en verwijderen van zwakke of verouderde cryptopraktijken die technische schuld vergroten en toekomstige migraties bemoeilijken. Deze acties versterken de actuele weerbaarheid en vergroten tegelijk de gereedheid voor de quantumtransitie.

De publicatie is ontwikkeld in samenwerking met financiële instellingen en beoogt consistente besluitvorming en afstemming binnen het financiële ecosysteem te ondersteunen. De overgang naar quantumveilige cryptografie wordt neergezet als een gefaseerde meerjareninspanning, die vraagt om vroegtijdig inzicht in risico’s en afhankelijkheden, alignment met leveranciers en standaardiseringsorganen en inbedding in bestaande risicobeheersings- en moderniseringsprogramma’s. Voor de sector in Nederland en België onderstreept het rapport het belang van structuur in prioritering, met nadruk op data met lange bewaartermijnen en systemen met hoge blootstelling.

In 2024 richtte het European Cybercrime Centre (EC3) van Europol, in nauwe samenwerking met de EC3 Advisory Group on Financial Services, het Quantum Safe Financial Forum op. Dit forum verenigt meerdere belanghebbenden om de transitie naar post-quantum cryptografie in de financiële sector te adresseren, met bijzondere aandacht voor Europa. Daarnaast wordt de rol van FS-ISAC beschreven als een ledenorganisatie zonder winstoogmerk die cyberweerbaarheid in het mondiale financiële systeem bevordert via realtime informatie-uitwisseling, met aangesloten instellingen die gezamenlijk een zeer groot deel van de wereldwijde activa vertegenwoordigen.

Bron

Een ransomware-aanval heeft vertrouwelijke interne documenten van de grote elektronicaproducent Luxshare blootgelegd, wat ernstige gevolgen kan hebben voor Apple's wereldwijde toeleveringsketen. Het datalek treft Luxshare's cruciale rol in de productie van AirPods, iPhones en de Vision Pro-headset.

Cybercriminelen hebben interne documenten gepubliceerd die gevoelige operationele informatie bevatten, waaronder productieworkflows, beveiligingsprocedures en supply chain-protocollen. Luxshare produceert ongeveer 30% van de iPhone-units en is de exclusieve leverancier van Apple's Vision Pro-headsets. Het bedrijf is ook diep geïntegreerd in Apple's toeleveringsketen voor onderdelen en reparaties, wat de strategische betekenis van het datalek vergroot.

De blootgelegde data bevat operationele blauwdrukken die concurrenten of kwaadwillenden in staat kunnen stellen om inzicht te krijgen in productiekwetsbaarheden, fabricagemogelijkheden en beveiligingslekken binnen Apple's leveranciersecosysteem. Beveiligingsonderzoekers volgen het incident om de verantwoordelijke dreigingsactor te identificeren. Uit een eerste analyse blijkt dat een geavanceerde dreigingsactor betrokken is, die in staat is om grootschalige elektronicaproducenten aan te vallen.

Het openbaar maken van vertrouwelijke documenten volgt de typische ransomware-afpersingsmethoden, waarbij encryptie wordt gecombineerd met datadiefstal om de druk op het betalen van losgeld te maximaliseren. Apple's toeleveringsketen loopt hierdoor een verhoogd risico. Luxshare's verantwoordelijkheid voor de fabricage van belangrijke producten zoals AirPods, iPhones en Vision Pro betekent dat productievertragingen een aanzienlijke impact kunnen hebben op de omzet en marktpositie van Apple.

Het datalek roept ook vragen op over de veiligheidseisen en het toezicht op leveranciers binnen Apple's vetting-proces. Regelgevende instanties kunnen onderzoeken of Apple voldoende veiligheidsnormen hanteerde voor kritieke leveranciersrelaties. GDPR, openbaarmakingsvereisten van de SEC en exportcontroleregels kunnen leiden tot compliance-verplichtingen.

Luxshare moet een onmiddellijk forensisch onderzoek uitvoeren om de omvang, tijdlijn en classificatie van de gecompromitteerde data te bepalen. Apple moet de toeleveringsketencontingenties evalueren en alternatieve fabricagepartnerschappen versnellen. Beide entiteiten moeten contact opnemen met wetshandhavings- en cybersecurity-instanties om dreigingsactoren te identificeren en advies te geven over mogelijke losgeldbesprekingen.

Het incident onderstreept kritieke kwetsbaarheden in high-tech toeleveringsketens en de noodzaak van een verbeterde beveiligingsvolwassenheid bij tier-one fabrikanten. De aanval laat zien hoe afhankelijk grote technologiebedrijven zijn van hun toeleveranciers en hoe een inbreuk bij één schakel in de keten verstrekkende gevolgen kan hebben. Organisaties dienen hun securitybeleid en -procedures te herzien en te versterken, met speciale aandacht voor de beveiliging van de gehele supply chain.

Bron

De Franse privacytoezichthouder CNIL heeft op 22 januari 2026 een boete van 3,5 miljoen euro opgelegd aan een niet nader genoemd bedrijf vanwege diverse overtredingen van de Algemene Verordening Gegevensbescherming (AVG). De overtredingen omvatten het gebruik van het SHA-256 hashing-algoritme, het plaatsen van trackingcookies zonder toestemming, het toestaan van zwakke wachtwoorden en het delen van klantgegevens met een socialmediaplatform zonder de juiste informatievoorziening.
Het bedrijf in kwestie exploiteert een loyaliteitsprogramma met een aanzienlijk ledenbestand, bestaande uit meer dan tien miljoen leden in Frankrijk, ruim tweehonderdduizend in België en duizenden leden in andere Europese landen. De CNIL concludeerde dat het bedrijf op meerdere fronten in strijd handelde met de AVG.
Een van de belangrijkste bevindingen van de CNIL betrof de praktijk van het delen van persoonlijke gegevens met een socialmediaplatform. Wanneer deelnemers aan het loyaliteitsprogramma aangaven reclame via e-mail of sms te willen ontvangen, werden hun gegevens doorgegeven aan dit platform. Het bedrijf liet deze gegevens vervolgens gebruiken voor gerichte advertenties. De toezichthouder benadrukte dat klanten niet adequaat werden geïnformeerd over deze datadoorgifte en het specifieke doel ervan, wat een duidelijke inbreuk vormt op de transparantievereisten van de AVG. Bovendien had het bedrijf geen data protection impact assessment (DPIA) uitgevoerd voor deze specifieke gegevensverwerking, wat eveneens een verzuim is onder de AVG.
Een ander punt van kritiek betrof het wachtwoordbeleid van het bedrijf. De CNIL oordeelde dat de regels voor de sterkte van wachtwoorden onvoldoende robuust waren, waardoor gebruikers zwakke wachtwoorden konden instellen. Daarnaast maakte het bedrijf gebruik van het SHA-256-hashing-algoritme in combinatie met een salt voor de opslag van wachtwoorden. Hoewel het gebruik van een salt een verbetering is ten opzichte van het opslaan van wachtwoorden zonder salt, beschouwt de Franse toezichthouder deze methode nog steeds niet als een veilige manier om wachtwoorden op te slaan. Het bedrijf is inmiddels overgestapt op het Argon2-algoritme, dat als een veiligere optie wordt beschouwd voor het hashen van wachtwoorden.
De CNIL uitte ook kritiek op het gebruik van trackingcookies. Alleen al bij het bezoeken van de website van het bedrijf werden er elf trackingcookies geplaatst, zelfs voordat het cookievenster met de vraag om toestemming verscheen. Bovendien werden de reeds geplaatste cookies niet verwijderd wanneer gebruikers trackingcookies weigerden. Het bedrijf bleef deze cookies uitlezen, wat in strijd is met de geldende wetgeving. Deze praktijk van het plaatsen van cookies zonder toestemming en het niet verwijderen ervan bij weigering is een schending van de privacyrechten van de websitebezoekers.
Deze boete benadrukt het belang van het naleven van de AVG-regels voor organisaties die persoonsgegevens verwerken. Het niet informeren van klanten over datadoorgifte, het gebruik van onvoldoende sterke wachtwoordmethoden en het onrechtmatig plaatsen van trackingcookies kunnen leiden tot aanzienlijke financiële sancties. Organisaties moeten investeren in adequate privacymaatregelen en transparant communiceren over hun gegevensverwerkingspraktijken om aan de AVG te voldoen en het vertrouwen van hun klanten te behouden.
Bron

Op donderdag 22 januari 2026 heeft beveiligingsexpert Bert Hubert een position paper gepubliceerd waarin hij pleit voor de oprichting van een Rijkscloudbedrijf. Hubert stelt dat een dergelijk bedrijf situaties, zoals de recente overname van Solvinity, kan helpen voorkomen. Hij zal zijn standpunt toelichten tijdens een rondetafelgesprek met de vaste commissie voor Digitale Zaken van de Tweede Kamer, waar de gevolgen van de beoogde Amerikaanse overname van cloudbedrijf Solvinity voor DigiD worden besproken.
Hubert benadrukt dat het binnen de huidige regelgeving en cultuur van de Rijksoverheid moeilijk is om slagvaardig en snel ICT-diensten aan te bieden. Hij wijst erop dat de huidige structuur van de Rijksdienst hier niet voor is ingericht. Als voorbeeld noemt hij de lange doorlooptijd en hoge kosten voor het aanvragen van een server bij de Rijksoverheid, wat volgens hem gemakkelijk vier maanden kan duren. Hij stelt ook dat het lastig is om bedrijfsmatige beslissingen te nemen binnen een ambtelijke context.
Als alternatief stelt Hubert voor om een Rijkscloudbedrijf op te richten, dat weliswaar volledig in handen is van de overheid, maar buiten de directe overheidsstructuur functioneert. Een dergelijk bedrijf zou beter in staat zijn om IT-talent te waarderen en aan te trekken, iets wat nu vaak een probleem is bij overheidsorganisaties. Bovendien zou het de inkoop van apparatuur en diensten efficiënter kunnen regelen, doordat het minder gebonden is aan de aanbestedingswet.
Hubert onderstreept het belang van het behouden van kerntaken nabij de overheid en onder stevige controle. Hij erkent dat het moeilijk is om ambtenaren direct het technische werk te laten uitvoeren. Het volledig overlaten van deze taken aan de markt is volgens hem echter ook geen succes gebleken, omdat dit heeft geleid tot een te grote afhankelijkheid van Amerikaanse bedrijven. Hij stelt dat Nederland dit heeft laten gebeuren.
Hij verwijst naar precedenten zoals Schiphol, de havens en TenneT als voorbeelden van succesvolle Rijksbedrijven. Deze bedrijven kunnen niet zomaar worden overgenomen en er kunnen duidelijke afspraken worden gemaakt over het toezicht. Hubert waarschuwt dat het overlaten van kerntaken aan het reguliere bedrijfsleven, zonder adequate toezicht, regelgeving en wetgeving, in feite neerkomt op het uit handen geven van de staatsmacht zonder de controle te behouden.
Het rondetafelgesprek met de vaste commissie voor Digitale Zaken vindt plaats op 27 januari 2026 om 18.30 uur in de Tweede Kamer. Het gesprek is openbaar en kan worden bijgewoond. Daarnaast zal het live te volgen zijn via Debat Direct.
Bron

Meredith Whittaker, het hoofd van Signal, heeft in een interview met VPRO Tegenlicht haar zorgen geuit over de toenemende hoeveelheid data die overheden van hun burgers verzamelen. Volgens Whittaker respecteert een systeem dat het recht op privacy niet respecteert, ook zijn burgers niet. Ze stelt dat privacy eeuwenlang de norm is geweest, maar dat de huidige trend van constante monitoring en dataverzameling door zowel overheden als bedrijven deze norm ondergraaft.
Whittaker benadrukt dat overheden nog nooit eerder zoveel informatie over hun burgers tot hun beschikking hebben gehad. Deze ongekende toegang tot data wordt gevoed door de groeiende overheidsbureaucratie die floreert op het verzamelen van extra informatie. Databanken hebben invloed op vrijwel elke burger, en het verzamelen van deze data heeft grote gevolgen voor de persoonlijke levenssfeer.
Een specifiek punt van zorg is het voorstel van de Europese Commissie voor chatcontrole. Whittaker is van mening dat chatcontrole technisch onwerkbaar is en een fundamentele ondermijning van het recht op privécommunicatie vormt. Bovendien waarschuwt ze dat een dergelijk systeem kwetsbaar zou zijn voor misbruik door hackers en vijandige natiestaten. Een achterdeur, ongeacht het doel, kan altijd worden misbruikt.
Whittaker erkent dat er een wensbeeld bestaat dat overheidscontrole geen negatieve gevolgen zal hebben. Echter, ze benadrukt dat Signal geen achterdeur zal inbouwen, zelfs niet als daartoe gedwongen door wetgeving zoals de voorgestelde chatcontrole in Europa. In een dergelijk scenario zou Signal proberen de dienst via proxyservers in de lucht te houden, vergelijkbaar met de aanpak in landen als Iran en Rusland. Als de keuze uiteindelijk neerkomt op het inbouwen van een achterdeur of het stoppen van de dienst, dan kiest Signal ervoor te stoppen. Dit om de privacy van gebruikers te waarborgen, gebruikers van wie het leven afhangt van de veiligheid en vertrouwelijkheid van hun communicatie.
De uitspraken van Whittaker onderstrepen de groeiende bezorgdheid over de balans tussen veiligheid en privacy in het digitale tijdperk. Het verzamelen van steeds meer data door overheden roept vragen op over de bescherming van burgerrechten en de mogelijke gevolgen van misbruik van deze informatie. De discussie over chatcontrole in Europa is een voorbeeld van de uitdagingen die ontstaan bij het zoeken naar een evenwicht tussen de wens om criminaliteit te bestrijden en de noodzaak om de privacy van burgers te beschermen. De waarschuwingen van Whittaker zijn een oproep tot waakzaamheid en een heroverweging van de impact van grootschalige dataverzameling op de samenleving.
Bron