Zscaler, presenteerde gisteren zijn jaarlijkse 'State of Encrypted Attacks-rapport'. Dit rapport volgde en analyseerde meer dan 20 miljard geblokkeerde dreigingen via HTTPS, een protocol dat ontworpen is voor veilige communicatie over netwerken.
In het onderzoek van dit jaar werd een toename van maar liefst 314 procent waargenomen in meerdere regio’s, waaronder APAC, Europa en Noord-Amerika. Deze bevindingen onderstrepen de noodzaak voor meer verkeersinspectie dan dat de meeste organisaties verkrijgen via legacy firewall-gebaseerde securitymodellen. In zeven van de onderzochte branches in dit onderzoek, werd een toename gerapporteerd in het aantal dreigingen van SSL- en TLS-verkeer, terwijl in de gezondheidszorg juist een afname te zien was van 27 procent. De IT-industrie was goed voor 50 procent van de gedetecteerde aanvallen.
Cybercriminelen zetten steeds geavanceerdere tactieken in bij hun aanvallen
“In de organisaties van tegenwoordig is meer dan 80 procent van het internet-bound verkeer encrypted. Dit betekent dat organisaties te maken hebben met de unieke uitdagingen om consistente security te leveren voor alle externe gebruikers”, zegt Deepen Desai, CISO en VP Security Research en Operations bij Zscaler. “Cybercriminelen zetten steeds geavanceerdere tactieken in bij hun aanvallen. Daarbij gebruiken ze encrypted kanalen in verschillende fasen van malware- en ransomware-aanvallen. De meeste enterprise IT- en security-teams erkennen deze realiteit, maar vinden het vaak lastig om een SSL/TLS-inspectiebeleid toe te passen vanwege een gebrek aan compute middelen en/of zorgen over zaken als privacy.
Als resultaat zijn encrypted aanvallen een blinde vlek in hun security. Ons rapport over de State of Encrypted Attacks laat zien dat de meest effectieve manier om encrypted aanvallen te voorkomen, het inzetten is van een schaalbare, cloudgebaseerde proxy-architectuur om al het encrypted verkeer te inspecteren. Dit is essentieel voor een holistische zero trust security-strategie.”
20 miljard dreigingen via HTTPS
Tussen januari 2021 en september 2021 blokkeerde Zscaler meer dan 20 miljard dreigingen via HTTPS. Dit is een toename van 314 procent ten opzichte van vorig jaar. Cybercriminelen worden steeds slimmer in hun aanvallen en hebben geprofiteerd van verbonden netwerken en malware-as-a-service-tools die beschikbaar zijn op het darkweb.
Terwijl cybercriminelen verschillende aanvalstypen kunnen gebruiken om zichzelf te verbergen in encrypted verkeer, vertegenwoordigde kwaadaardige inhoud maar liefst 91 procent van de aanvallen, een stijging van 212 procent ten opzichte van vorig jaar. Daarentegen is cryptomining-malware met 27 procent gedaald, als gevolg van een bredere verschuiving in de aanvalstrends, waarbij ransomware een lucratievere optie wordt.
Toename aanvallen op tech- en retailorganisaties
Het rapport vond verder een toename in het aantal aanvallen op tech- en retailorganisaties en groothandels. Aanvallen op tech-organisaties namen toe met maar liefst 2.300 procent. Retailorganisaties en groothandels zagen een toename van meer dan 800 procent. Naarmate meer retailers digitale opties bieden tijdens de feestdagen, zullen cybercriminelen naar verwachting meer e-commerceoplossingen en digitale betalingsplatforms aanvallen met malware- en ransomware-aanvallen. Dit is verergerd door de plotselinge noodzaak om externe werknemers te verbinden via teleconferencing, SaaS-gebaseerde apps en public cloud workloads.
Ook tech-organisaties zijn aantrekkelijk voor cybercriminelen vanwege hun rol in de supply chain. Een succesvolle supply chain-aanval, zoals Kaseya en SolarWinds, kan aanvallers toegang geven tot een schat aan gebruikersinformatie. Ondanks het feit dat de wereld langzaam terugkeert naar normaal, werken veel werknemers nog altijd in relatief instabiele omgevingen. Toegang krijgen tot kritieke point-of-sale-systemen is extreem aantrekkelijk voor cybercriminelen, omdat het de deur opent voor enorme winstmarges.
Aanvallen op de gezondheidszorg en overheden
Na een top doelwit te zijn geweest in 2020, zijn aanvallen op de gezondheidszorg in 2021 afgenomen met 27 procent. Ook aanvallen op overheden zijn afgenomen, en wel met 10 procent. Ransomware-aanvallen op kritieke services, zoals de Colonial Pipeline-aanval, hebben de aandacht getrokken van de bestuurlijke top van het land, wat in veel gevallen heeft geleid tot strengere wetgeving rond cybersecurity.
“Na de vaakst aangevallen sectoren te zijn geweest in 2020, hebben organisaties in de gezondheidszorg en overheden de noodzaak gevoeld om hun security te updaten met moderne architecturen, waarvan de meeste zijn gebaseerd op zero trust”, zegt Desai. “Er was het afgelopen jaar ook meer toezicht door de overheid en er werd hardhandig opgetreden tegen cybercriminelen als reactie op een aantal spraakmakende aanvallen op kritieke diensten, zoals Colonial Pipeline. Dit heeft het afgelopen jaar geresulteerd in een afname van het aantal aanvallen op organisaties in deze sectoren.”
Aanvallen in meer dan 200 landen
Zscaler ThreatLabZ observeerde aanvallen in meer dan 200 landen, waaronder kleinere landen, zoals eilanden in het Caribisch gebied. Bovendien heeft een toename in 'work-from-anywhere' ertoe geleid dat werknemers wegtrekken uit de gebruikelijke technische hubs, zoals de Bay Area, New York, Londen, Parijs, Sydney.
De vijf landen die de meeste encrypted aanvallen incasseerden, zijn het VK (5,5 miljard), de VS (2,7 miljard), India (2,2 miljard), Australië (1,8 miljard) en Frankrijk (520 miljoen). Als geheel staat Europa bovenaan met 7,2 miljard aanvallen, gevolgd door APAC (4,9 miljard) en Noord-Amerika (2,8 miljard).
Aanbevelingen
Naarmate organisaties nieuwe, digitale werkmodellen omarmen, is het steeds belangrijker om te zorgen dat hun assets en verkeer naar die assets veilig is. Om de dreiging van encrypted aanvallen te verkleinen, doet Zscaler ThreatLabZ de volgende aanbevelingen:
- Ontsleutel, detecteer en voorkom dreigingen in al het HTTPS-verkeer met een cloud-native, proxy-based architectuur die al het verkeer voor iedere gebruiker kan inspecteren.
- Isoleer onbekende aanvallen en stop patient-zero malware met een AI-driven sandbox die verdachte content vasthoudt voor analyse, in tegenstelling tot firewall-based passtrough-oplossingen.
- Biedt consistente security voor alle gebruikers en locaties om zeker te weten dat iedereen hetzelfde veiligheidsniveau heeft, ongeacht of zij zich thuis, op kantoor of onderweg bevinden.
- Verklein de attack surface met een zero trust-beleid, waarbij laterale bewegingen niet kunnen bestaan. Daarbij zijn applicaties onzichtbaar voor aanvallers en krijgen gebruikers alleen direct toegang tot de middelen die zij nodig hebben, niet het hele netwerk.
Methodologie
Het ThreatLabZ-team evalueerde data van de Zscaler-beveiligingscloud, die dagelijks meer dan 150 miljard transacties over de hele wereld bewaakt. Zscaler blokkeerde meer dan 20,7 miljard bedreigingen die werden verzonden via encrypted kanalen gedurende een periode van negen maanden (januari 2021 tot september 2021).
De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.
Bron: zscaler.com
Bekijk alle vormen en begrippen 》
Actuele aanvallen overzicht per dag 》
Meer rapporten bekijken of downloaden 》
Tips of verdachte activiteiten gezien? Meld het hier.
Meer nieuws
cPanel 44.000 installaties gecompromitteerd, ShinyHunters lekt Aman Resorts en Raptor Supplies Wemeldinge op darkweb
In de periode van 1 mei tot en met 3 mei 2026 bevestigde de Shadowserver Foundation dat minimaal 44.000 IP-adressen van cPanel installaties actief zijn gescand na exploitatie van CVE-2026-41940, met op 1 mei alleen al meer dan vijftienduizend nieuwe kwaadaardige cPanel hosts in één dag. Op hetzelfde moment publiceerde ShinyHunters de gegevens van 215.600 gasten van luxehotelgroep Aman Resorts en bevestigde Canonical een aanhoudende DDoS aanval op de Ubuntu webinfrastructuur door de Iran gelinkte groep 313 Team. Onderzoekers van Check Point Research en Halcyon maakten bekend dat de VECT 2.0 ransomware in de praktijk als wiper functioneert, waardoor bestanden onherstelbaar vernietigd worden zelfs na betaling van losgeld. Cybercrimeinfo ontdekte op het darkweb dat de criminele groep FulcrumSec gestolen data publiceert van Raptor Supplies, een Britse leverancier met een Nederlandse vestiging in Wemeldinge. Nieuw verschenen ransomwaregroep CMD Organization postte zijn eerste twee slachtoffers in een veilingformaat. En het Martini Ziekenhuis in Groningen bevestigde na drie weken volledig herstel van het patiëntenportaal Mijn Martini, getroffen door de ransomware aanval op EPD leverancier ChipSoft op 7 april.
Kifid kantelt aansprakelijkheid bij bankhelpdeskfraude, Kanters Lieshout gehackt en AI coderingstools blijven dominant risico
De woensdag en donderdag van 29 en 30 april 2026 leverden drie ontwikkelingen op die de afgelopen weken in een ander licht stellen. Het Kifid heeft de drempel voor "grof nalatig" bij bankhelpdeskfraude fors hoger gelegd, banken zijn voortaan vaker zelf aansprakelijk en moeten in beginsel het volledige niet toegestane bedrag terugbetalen, terwijl Belgische politiezones Minos, Rupel en Hekla infoavonden organiseren tegen een aanhoudende stijging van meldingen. Cybercrimeinfo verifieerde een tip over de overgenomen website van waterspecialist Kanters Lieshout, waar een opportunistische actor 0,1 bitcoin afpersing eist via Twitter contact, een ander profiel dan de gevestigde ransomwaregroepen die NL en BE de afgelopen weken raakten. En na de eerdere PocketOS-database-vernietiging in S02E51 zijn er nu vier nieuwe AI tool incidenten op een week tijd, Cursor met een onopgeloste extensiekwetsbaarheid (CursorJacking, CVSS 8.2), Jerry's Store dat zelf 345.000 creditcards openbaarde via een AI vibecoding fout, een gepatchte Gemini CLI met CVSS 10.0 score, en staatssecretaris Aerdts (Digitale Economie) die formeel waarschuwt tegen autonome AI assistenten zoals OpenClaw op systemen met persoonsgegevens. Daarnaast breidde de Mini Shai-Hulud campagne van TeamPCP uit van vier SAP CAP npm pakketten naar PyTorch Lightning op PyPI plus intercom-client en intercom-php op Packagist, vier ecosystemen tegelijk binnen 36 uur.
Gezocht: koerier na bankhelpdeskfraude in Veenendaal en Almere
Een vrouw uit Veenendaal werd op 27 februari 2026 slachtoffer van bankhelpdeskfraude. Een nepbankmedewerker belde haar op, waarna een koerier aan de deur kwam en haar gouden ringen, gouden kettingen, contant geld en bankpas meenam. Met de buitgemaakte pinpas werd vervolgens gepind in winkels en bij geldmaten in Veenendaal en Almere. In totaal werd ruim 5.500 euro afhandig gemaakt. De politie zoekt de verdachte koerier.
Apt73 raakt twee Belgische organisaties, ChipSoft claimt data vernietigd en LiteLLM actief misbruikt
De maandag en dinsdag van 27 en 28 april 2026 leverden drie ontwikkelingen op die de discussie van de afgelopen weken doortrekken. De ransomwaregroep Apt73 plaatste op een dag twee Belgische organisaties op het lekplatform, een Oost-Vlaams staalbedrijf en een Waalse zorggroep met meerdere ziekenhuizen. ChipSoft meldde dat de eerder deze maand gestolen patiëntengegevens niet zijn gepubliceerd en volgens eigen onderzoek zijn vernietigd, een claim die volledig leunt op de mededeling van de aanvaller. En de open source LLM proxy LiteLLM wordt sinds ongeveer 36 uur na publieke disclosure actief misbruikt om API sleutels van OpenAI, Anthropic en Bedrock te stelen. Daarnaast bevestigde Vimeo een datalek via het analyseplatform Anodot, lekte LAPSUS$ 96 GB Checkmarx data ook via clearnet portals en werden tientallen Visual Studio Code extensies op Open VSX besmet met de GlassWorm credential stealer. Drie supply chain aanvallen op een week tijd, plus een data lek bij AI trainingsbedrijf Mercor van 4 TB stemopnamen gekoppeld aan paspoorten van 40.000 contractors.
ShinyHunters bij ADT en Udemy, DigiD blijft bij Solvinity en Palantir bij de Marechaussee
Het weekend van 24 tot en met 26 april 2026 leverde drie ontwikkelingen op die de discussie van eerdere weken doortrekken. ShinyHunters publiceerde binnen 24 uur twee grote slachtoffers, ADT en Udemy, beide via vishing tegen een SSO-account. Het kabinet besloot daarnaast om DigiD bij Solvinity te houden, ondanks Kamerverzet en een aangekondigde Amerikaanse overname. En WOO stukken openbaarden dat de Koninklijke Marechaussee jarenlang gebruik maakte van Palantir, terwijl de minister dat in een Kamerantwoord ontkende. Daarnaast staan in Nederland en België 3.793 Zimbra servers ongepatcht, voegde CISA vier actief misbruikte CVE's toe aan de Known Exploited Vulnerabilities catalogus en publiceerde Silverfort een privilege escalation in Microsoft Entra Agent ID die inmiddels is gepatcht.
ChipSoft ransomware, Rituals 41 miljoen en FIRESTARTER
Woensdag en donderdag brachten drie onwelkome waarheden voor Nederlandse en Belgische organisaties. Een Nederlandse zorgsoftware-leverancier onderhandelt met een ransomwaregroep over 100 GB aan patiëntdata, een bekend Nederlands cosmeticamerk verliest persoonsgegevens van 41 miljoen leden wereldwijd, en CISA onthult dat aanvallers via nieuwe FIRESTARTER-malware persistente toegang behouden tot Cisco-firewalls, ook nadat organisaties keurig patchen. Daarnaast waarschuwden de MIVD en NCSC-UK voor Chinese cyberoperaties, nadert de CISA KEV-deadline van 28 april voor SharePoint, Defender en beide Cisco ASA-CVE's, en openbaarde Socket een supply chain-aanval op de Checkmarx KICS Docker-images die CI/CD-pijplijnen wereldwijd raakt.