Peter’s dagelijkse cybercrime analyse

Analyse 28 oktober 2026

Veel organisaties richten hun beveiliging vooral op hackers van buiten, schrijft de AIVD. Het risico van binnenuit wordt vaak over het hoofd gezien.

In de publicatie "Weerbaar tegen dreigingen van binnenuit" waarschuwt de dienst dat buitenlandse inlichtingendiensten, extremisten en criminele netwerken insiders inzetten, in de publieke en de private sector. Volgens de AIVD gaat het dikwijls om medewerkers die niet bewust schade toebrengen. Wie het wel bewust doet, richt vaak grotere schade aan.

De dienst geeft een fictief voorbeeld. Een medewerker zit maanden thuis in een ziektetraject, start zijn werklaptop op, downloadt gevoelige gegevens en biedt die te koop aan bij een crimineel netwerk. Collega's en leidinggevende hadden niet door dat hij er nog bij kon.

In de berichten die Cybercrimeinfo dagelijks volgt, draait vrijwel alles om aanvallers van buiten. Juist daarom valt deze waarschuwing op.

Volgens de AIVD komen in zaken rond insiders steeds dezelfde zwakke plekken terug. Een daarvan is te weinig aandacht voor het aanpassen van rechten bij functiewisseling, uitdiensttreding of langdurige ziekte. De publicatie vraagt of organisaties periodiek controleren of de toegang van medewerkers nog past bij hun werk.

Weet u welke vertrokken of langdurig afwezige medewerkers nog bij uw systemen kunnen?

Analyse 27 oktober 2026

Bij de hack van eSignFlow zijn volgens de leverancier vooral metadata buitgemaakt. Toch vragen gemeenten hun inwoners om extra waakzaam te zijn.

Bij softwareleverancier Vanden Broele is ingebroken in eSignFlow, de module waarmee lokale besturen in België documenten digitaal laten ondertekenen, meldt VRT NWS. Meer dan 120 lokale besturen gebruiken de software. Volgens de topman van Vanden Broele gaat het vooral om de naam van een ondertekenaar en de titel van een document. De burgemeester van Steenokkerzeel liet maandag weten dat hij documenten voorlopig met de hand tekent.

Een naam naast een documenttitel lijkt weinig. Maar wie weet waarvoor u iets ondertekende, kan daar een geloofwaardig betaalverzoek omheen bouwen. Peer en Genk waarschuwen hun inwoners voor berichten die om betaalgegevens vragen. VRT NWS raadt aan om bij een bericht over een gemeentelijke boete de betaalgegevens te vergelijken met die van de eigen gemeente.

In de monitoring van Cybercrimeinfo zie ik het steeds terug. Na het lek komt het bericht dat precies lijkt te weten waar het over gaat.

Spreek als organisatie vooraf met uw klanten af langs welk kanaal en naar welk rekeningnummer u om betaling vraagt. Dan valt een vals verzoek sneller op.

Weten uw klanten of inwoners hoe zij een echt betaalverzoek van u herkennen?

Analyse 25 oktober 2026

Hoe sneller een valse beleggingssite offline is, hoe minder mensen erin trappen. Daar draait een wetsontwerp om.

De Belgische ministers David Clarinval (Economie) en Rob Beenders (Consumentenbescherming) willen dat frauduleuze financiële websites sneller worden geblokkeerd, meldt RTBF. Tot nu toe moest de FSMA, de toezichthouder op de financiële diensten en markten, de procureur des Konings vragen om zo'n blokkering te bevelen. Volgens het wetsontwerp kan de FSMA de blokkering voortaan zelf aan de operatoren opleggen.

Het gaat om fraude zoals beleggingsfraude, illegale aanbiedingen van cryptomunten en valse kredieten. Test Aankoop noemt de maatregel positief, maar wijst erop dat ze alleen financiële fraudesites betreft.

Het wetsontwerp moet volgens RTBF nog worden gestemd, in de eerste helft van december. De maatregelen gaan dan zes maanden na publicatie van de wet in.

Tussen de meldingen over lekken en aanvallen die Cybercrimeinfo dagelijks volgt, valt dit bericht op. Het gaat niet over een nieuwe aanval, maar over hoe snel een oplichter zijn podium kwijtraakt.

Een blokkering komt pas als een site al online staat. De eerste herkenning blijft dus bij de mensen die de aanbieding zien, thuis en op het werk.

Weet u of uw medewerkers een valse beleggingssite herkennen voordat zij geld overmaken?

Analyse 24 oktober 2026

Een sleutel die in mei per ongeluk openbaar werd, opende in oktober de weg naar een besmette softwareversie.

LiteLLM is opensource software die organisaties gebruiken als doorgeefluik naar AI modellen. Op 21 oktober verscheen een besmette versie op PyPI en als containerimage. Onderzoekers van Socket maakten op 23 oktober bekend dat er al op 10 oktober geheimen uit de GitHub omgeving werden weggesluisd, elf dagen eerder.

LiteLLM beschrijft in een eigen onderzoek hoe het begon. Een hoofdsleutel van een intern platform kwam op 27 mei in een publieke repository terecht en was in oktober nog niet ingetrokken. Daarmee haalde de aanvaller op 10 oktober het token op van een eigenaar van de GitHub organisatie. Volgens LiteLLM keurde een token dat die dag werd gestolen later de besmette release goed.

Daar zit de les. De aanval werd in oktober zichtbaar, maar de deur stond sinds mei open. Een gelekte sleutel blijft werken tot iemand hem intrekt.

In de meldingen over softwareaanvallen die Cybercrimeinfo dagelijks volgt, gaat de aandacht vaak naar de besmette versie. Het begin ligt eerder.

Dat raakt niet alleen softwaremakers. Elke organisatie met API sleutels, tokens of wachtwoorden in code, scripts of tickets loopt dit risico.

Weet u hoe lang een gelekte sleutel in uw organisatie geldig blijft voordat iemand hem intrekt?

Analyse 23 oktober 2026

Software die u allang vergeten bent, kan nog elke dag om een update vragen. Bij Popcorn Time ging het om miljoenen systemen.

Eye Security maakte op 22 oktober bekend dat het tussen november 2025 en maart 2026 de updater van Time4Popcorn, een afsplitsing van Popcorn Time, op meer dan een miljoen systemen uitschakelde. Die updater draait op de achtergrond, haalt updates op via onversleuteld HTTP zonder controle van een handtekening en voert ze uit met hoge rechten. Een van de updatedomeinen was niet meer geregistreerd.

Wie dat domein in handen kreeg, kon volgens Eye Security code uitvoeren op elk systeem dat erop aanklopte. Het bedrijf registreerde het zelf en schat dat het op Windows 2,5 tot 3 miljoen systemen tegenkwam.

Daar zit de les. Het gevaar zat niet in software die mensen bewust gebruiken, maar in een vergeten programma en een vrijgekomen domein.

In wat Cybercrimeinfo elke dag aan meldingen volgt, krijgt een lek vaak pas aandacht als duidelijk is wie de software gebruikt. Vergeten software valt dan buiten beeld.

Het risico is niet weg. Op Android kwam geen update, en Eye Security adviseert Popcorn Time te verwijderen. Het nieuwe, legale project met dezelfde naam valt buiten dit onderzoek.

Weet u welke programma's in uw organisatie nog op de achtergrond om updates vragen?

Analyse 22 oktober 2026

Een verpleeghuis zonder medicatiesysteem. Op 21 oktober was dat een deel van de dag de praktijk, en bewoners ondervonden er voor zover bekend geen nadelige gevolgen van.

Het medicatiesysteem Medimo, veel gebruikt in Nederlandse verpleeghuizen, ging die dag uit voorzorg offline vanwege de kritieke kwetsbaarheden in PHP. Volgens NRC weken zorgverleners uit naar digitale reservelijsten, die nog actueel waren omdat het systeem net offline was. Aan het eind van de middag was Medimo weer online.

Volgens zorggroep Amaris zou het pas gevaarlijk worden als het systeem langer dan ongeveer een week offline bleef. Dan raken de reservelijsten achterhaald, omdat artsen wijzigingen in de medicatie juist in dat systeem vastleggen.

Daar zit de les. Uit voorzorg uitschakelen is alleen verstandig als de terugval klaarligt en u weet hoe lang die houdbaar is.

Wat ik deze week in de monitoring van Cybercrimeinfo zag, ging niet alleen over websites, maar ook over telefoonlijnen van de politie en dit medicatiesysteem.

Het NCSC onderzoekt inmiddels eerste signalen van actief misbruik en adviseert kwetsbare systemen offline te houden tot de update erop staat. Uitschakelen kan dus nog even nodig blijven.

Weet u hoe lang uw organisatie kan doorwerken als uw belangrijkste systeem uit voorzorg uit moet?

Analyse 21 oktober 2026

Op 21 oktober haalden organisaties in Nederland en België uit voorzorg hun eigen websites offline. Niet na een inbraak, maar in afwachting van een update.

De aanleiding waren twee kritieke kwetsbaarheden in PHP. Details erover kwamen naar buiten voordat de update er was. Volgens de NOS gingen onder meer MijnOverheid.nl, DigiD en de website van de Tweede Kamer uit de lucht. In België noemt VRT NWS onder meer Smartschool en websites van de Vlaamse overheid.

Het NCSC had op dat moment nog geen actief misbruik gezien, het CCB nog geen aanvallen in België. Toch noemde het NCSC ieder systeem met PHP dat vanaf internet bereikbaar is "vermoedelijk kwetsbaar". Inmiddels heeft PHP de update uitgebracht.

Offline gaan is een zware beslissing, en alleen goed te nemen als u weet waar PHP draait. Huntress adviseert alle installaties in kaart te brengen, ook PHP in software van leveranciers en in beheerpanelen.

Wat ik die dag in de monitoring van Cybercrimeinfo zag, waren berichten die binnen uren uiteenliepen, van geen aanwijzing voor misbruik tot het beveiligingsbedrijf Patchstack dat wel misbruik meldde.

Voor organisaties in Nederland en België telt dus niet alleen of de update erop staat, maar ook of de lijst van systemen compleet was.

Weet u van al uw websites en systemen op welke versie van PHP ze draaien?

Analyse 20 oktober 2026

Een update van een vertrouwde leverancier hoort een website veiliger te maken. Bij Rank Math PRO zat de malware juist in een update.

Rank Math, maker van een SEO plugin voor WordPress, meldt dat kopieën van de betaalde versie 3.0.123 malware bevatten als ze tussen 15 oktober 20.02 uur en 16 oktober 07.12 uur UTC zijn gedownload of als update binnenkwamen. De gratis versie is volgens Rank Math niet getroffen.

Wie de besmette versie activeerde, moet de site volgens de leverancier als gecompromitteerd behandelen. Alleen deactiveren is niet genoeg, want de malware kan een verborgen achterdeur opnieuw aanmaken.

Bij TeamUpdraft, maker van de plugin UpdraftPlus voor reservekopieën, kregen onbevoegden toegang tot de eigen website. Het bedrijf gaat ervan uit dat de klantendatabase is ingezien, met sleutels die opdrachten naar gekoppelde sites kunnen sturen. De plugin zelf is volgens TeamUpdraft niet getroffen.

In de meldingen die Cybercrimeinfo volgt, zie ik deze week dat de aanval niet bij de website begint, maar bij de leverancier van een onderdeel ervan.

Dat geldt voor elke organisatie in Nederland en België met een WordPress site. Een plugin is ook een leverancier, met toegang tot uw site.

Weet u welke plugins en externe diensten op afstand iets op uw website mogen bijwerken of uitvoeren?

Analyse 19 oktober 2026

Eerst bijwerken en daarna pas kijken of er iemand binnen was. Bij SiteGuard Server Edition waarschuwt de leverancier juist voor die volgorde.

De Japanse leverancier EG Secure Solutions meldde op 14 oktober dat een lek in deze webapplicatiefirewall al wordt misbruikt. Via de statistiekfunctie, die standaard aan staat, kunnen commando's met root of SYSTEM rechten op de server worden uitgevoerd.

Er is een update, en een patch voor versies zonder ondersteuning. Opvallend is de waarschuwing erbij. Bijwerken of patchen kan de sporen van een aanval wissen. De leverancier raadt daarom aan eerst de diagnostische gegevens te downloaden en te bewaren.

Klanten met een direct ondersteuningscontract kregen al op 29 september persoonlijk bericht, ruim twee weken voor de openbare waarschuwing.

In de meldingen die ik voor Cybercrimeinfo volg, is het advies bij een misbruikt lek meestal direct bijwerken. Terecht. Maar wie alleen bijwerkt, weet daarna niet of er al iemand op de server was.

Dat geldt voor elk eigen systeem in Nederland en België met een lek dat al wordt misbruikt. Bewaar eerst wat u nodig hebt om te weten wat er gebeurde, en werk dan direct bij.

Ligt er in uw organisatie vast wie bij een misbruikt lek eerst de sporen veiligstelt, voordat de update gaat draaien?

Analyse 18 oktober 2026

Volgens Broadcom bestaat er een patch. Toch was op 15 oktober volgens onderzoeker Quentin Kaiser nog geen van de getroffen toestellen op zijn lijst bijgewerkt.

Kaiser presenteerde op 16 oktober op de conferentie Hexacon een lek in de wifisoftware van Broadcom. Volgens hem zit de fout al sinds minstens 2010 in de softwareontwikkelkit van de chipmaker. Een aanvaller binnen bereik van het wifi kan zo eigen code uitvoeren op de router, zonder de netwerksleutel te kennen.

In België noemt Kaiser de BBOX 3 en BBOX3V+ van Proximus, vier modems van VOO en de ASKEY TCG3000 van Orange Belgium. Hij schat, met gemiddelde zekerheid, dat het bij die drie providers om ruim anderhalf miljoen toestellen gaat. Bij Telenet is dat volgens hem nog niet bevestigd.

Broadcom verwees Kaiser voor de patch naar de fabrikanten en kende geen CVE nummer toe. Kaiser publiceerde zelf een script waarmee getroffen toestellen te herkennen zijn.

In de meldingen die Cybercrimeinfo dagelijks volgt, zie ik vaker dat een oplossing bestaat maar blijft hangen tussen chipmaker, fabrikant en provider.

Staat er op een filiaal of thuiswerkplek van uw organisatie een router van de provider, dan ligt die update meestal niet in uw eigen hand.

Weet u welke routers in uw organisatie door een provider worden beheerd, en wie daar de updates voor doet?

Analyse 17 oktober 2026

Een aanmelding zonder gebruiker, zonder apparaat en zonder vraag om MFA. Zo meldden aanvallers zich deze week aan bij 162 omgevingen van Microsoft 365.

Volgens Huntress gebruikten zij een gestolen geheime sleutel van ConnectWise Cloud Backup, voorheen SkyKick. Met die dienst maken managed service providers reservekopieën van Microsoft 365 voor hun klanten. De applicatie heeft daarvoor ruime toegang tot mailboxen, OneDrive, SharePoint, Teams en directorygegevens, en de sleutel werkt in elke omgeving waar zij toestemming heeft.

Bij die aanmeldingen werd geen wachtwoord van een medewerker gebruikt. De applicatie zelf meldde zich aan, en daar komt geen MFA aan te pas. Volgens Huntress konden klanten dit met niets in hun eigen omgeving veroorzaken.

Wat ik in de monitoring van Cybercrimeinfo steeds terugzie, is dat aanvallers via één leverancier bij veel klanten tegelijk binnenkomen. Uw eigen aanmeldbeveiliging helpt dan niet.

Werkt uw organisatie met een dienst die reservekopieën maakt van Microsoft 365, dan heeft die dienst daarvoor ook ruime toegang tot uw omgeving. Huntress adviseert onder meer de sleutels en certificaten van alle applicaties na te lopen op toevoegingen die u niet zelf deed.

Weet u welke applicaties van leveranciers nu kunnen lezen in de mailboxen van uw organisatie?

Analyse 16 oktober 2026

Na een datalek gaat het gesprek meestal over schuld. De Onderzoeksraad voor Veiligheid stelt bewust een andere vraag.

De raad maakte op 15 oktober bekend dat hij onderzoek doet naar de veiligheidsrisico's van datalekken voor burgers. Aanleiding zijn de vele en soms grootschalige datalekken, waarbij in een aantal gevallen gegevens van burgers bij kwaadwillenden terechtkwamen. De raad kijkt ook naar het hele systeem rond de opslag en beveiliging van die gegevens, en geeft nadrukkelijk geen antwoord op vragen over schuld of aansprakelijkheid.

Erica Bakkum, plaatsvervangend voorzitter, wijst erop dat burgers bijna overal gegevens moeten afgeven, bij boodschappen, zorg, overheid of een abonnement. Volgens haar hebben zij eigenlijk geen mogelijkheden om de risico's van een lek te beheersen. Een datalek is zo een vraag over veiligheid, niet alleen over privacy.

In de meldingen die Cybercrimeinfo dagelijks volgt, draait het na een lek vaak om de organisatie die het lek had. De mensen achter de gegevens komen pas later in beeld.

Voor organisaties in Nederland en België is elk gegeven dat u bewaart ook een risico dat u voor een ander draagt. Wat u niet meer bewaart, kan ook niet uitlekken.

Welke gegevens van klanten of medewerkers bewaart uw organisatie nog, terwijl u ze niet meer nodig hebt?

Analyse 15 oktober 2026

Een bank mag een phishingslachtoffer niet laten wachten op het geld omdat de klant grof nalatig zou zijn geweest. Eerst terugbetalen, daarna pas de discussie.

Dat oordeelde het Hof van Justitie van de Europese Unie op 15 oktober. Een klant van een Poolse bank verkocht iets via een online verkoopplatform en kreeg van een zogenaamde koper een link. Die leidde naar een nagemaakte website van haar bank, waar zij haar inloggegevens invulde. De oplichter maakte daarna ongeveer 700 euro over naar een eigen rekening. De bank weigerde terug te betalen.

Volgens het Hof moet de bank uiterlijk aan het einde van de volgende werkdag terugbetalen, mits de klant zonder onnodige vertraging meldt. De enige uitzondering is een gegrond vermoeden van fraude door de klant zelf, dat de bank meldt bij de bevoegde autoriteit. Wil de bank het verlies toch bij de klant leggen, dan moet zij achteraf bewijzen dat die grof nalatig was.

De uitspraak bindt ook rechters in andere lidstaten met een vergelijkbare vraag, dus ook in Nederland en België.

Ook deze week stond in het overzicht van Cybercrimeinfo weer een valse mail namens een Nederlandse bank. Snel melden wordt daarmee nog belangrijker, want het recht op directe terugbetaling hangt eraan.

Weten uw medewerkers bij wie en hoe snel zij een verdachte betaling moeten melden?

Analyse 14 oktober 2026

Wie een beheerprogramma nodig heeft, zoekt de naam op en klikt op een van de eerste resultaten. Precies daar wachten aanvallers nu op beheerders.

Unit 42 van Palo Alto Networks beschreef deze week een nagemaakte downloadpagina van PuTTY, een programma voor beheer op afstand, die via zoekresultaten van Google bezoekers lokte. Het installatiebestand zet een echte, werkende PuTTY neer, terwijl op de achtergrond malware start.

Huntress beschreef een nepsite voor de VPN software van WatchGuard. Die vraagt om server, gebruikersnaam en wachtwoord en laat daarna de echte, ondertekende installer downloaden. Een beheerder van een IT dienstverlener kwam er op 7 oktober via Bing terecht.

De gebruiker krijgt dus precies wat hij verwachtte. Bij WatchGuard is er zelfs geen kwaadaardig bestand dat beveiligingssoftware kan opmerken.

Twee van zulke nepsites voor beheersoftware kwamen deze week voorbij in het dagelijkse overzicht van Cybercrimeinfo. Wie een beheerder misleidt, kan bij een hele organisatie binnenkomen.

Leg daarom vast waar uw organisatie software vandaan haalt, met vaste downloadadressen in de documentatie en als bladwijzer. En zet tweestapsverificatie op uw VPN.

Waar haalt uw beheerder zijn software vandaan, uit een vaste lijst of uit de zoekmachine?

Analyse 13 oktober 2026

De winkels zijn open en de kassa's werken. Toch kunnen klanten van Albert Heijn geen boodschappen online bestellen, en wisselt per winkel hoeveel groente en fruit er ligt.

Sinds zondagmiddag 11 oktober hebben Albert Heijn, Etos en Gall & Gall te maken met een cybersecurityincident. Moederbedrijf Ahold Delhaize haalde uit voorzorg systemen offline. In België loopt online bestellen bij Delhaize via een alternatief systeem.

Dinsdag meldde het concern dat het bepaalde systemen gecontroleerd opnieuw opstart en op dit moment geen bewijs heeft dat gegevens van klanten of medewerkers zijn buitgemaakt. Het onderzoek loopt nog.

Uitschakelen uit voorzorg is vaak verstandig. Het laat ook zien hoe nauw winkel, distributiecentrum, app en klantenservice verweven zijn.

De afgelopen dagen kwamen in de monitoring van Cybercrimeinfo meerdere incidenten in de Europese levensmiddelensector voorbij. Het NCSC ziet op dit moment geen reden om aan te nemen dat die samenhangen. Een nuttige rem op snelle conclusies.

De les geldt niet alleen voor supermarkten. Leg vooraf vast wat blijft werken als u zelf de stekker eruit trekt, en hoe u dan klanten, leveranciers en personeel bereikt.

Weet u welke processen in uw organisatie stilvallen als u uit voorzorg uw belangrijkste systemen uitschakelt?

Analyse 11 oktober 2026

Een groen label op een document is geen beveiliging van dat document.

Het Traffic Light Protocol, TLP, geeft aan met wie informatie gedeeld mag worden. Het vertelt niet hoe u die informatie moet opslaan of versleutelen. FIRST, de beheerder van de standaard, maakt dat onderscheid expliciet.

Jan Kopriva waarschuwde op 10 oktober bij het SANS Internet Storm Center voor organisaties die TLP gebruiken als vervanging van hun interne informatieclassificatie. Dan krijgt dezelfde kleur ongemerkt twee betekenissen.

TLP:GREEN betekent bijvoorbeeld delen binnen de relevante gemeenschap. Het betekent niet alleen intern, maar ook niet openbaar op internet. Wie groen gelijkstelt aan intern, kan iets anders bedoelen dan de ontvanger begrijpt.

Bij het lezen van de dagelijkse berichten voor Cybercrimeinfo viel mij juist dit verschil op. Een afspraak over wie iets mag ontvangen, is nog geen afspraak over wie het kan openen of hoe lang het bewaard blijft.

Mijn advies, ook voor Nederlandse en Belgische organisaties, is om naast het deellabel de bescherming vast te leggen. Bepaal apart wie toegang krijgt, welke opslag is toegestaan en wanneer informatie wordt verwijderd.

Weet uw team bij een groen label wat het mag delen én hoe het de informatie moet beschermen?

Analyse 10 oktober 2026

Een noodpatch voelt als het einde van een incident. Bij PaperCut bleek het eerder het begin van een reeks.

Eind augustus misbruikten aanvallers een keten van twee lekken in PaperCut NG en MF, software waarmee organisaties hun printers beheren. PaperCut waarschuwde op 27 augustus en bracht daarna snel een patch uit. Onderzoekers van watchTowr vergeleken die patch met de vorige versie en vonden manieren om de reparaties te omzeilen. Ook de reparatie daarna bleek te omzeilen, en op 31 augustus vonden zij nog een nieuw lek.

Dat is geen toeval. Een snelle patch richt zich op wat aanvallers op dat moment gebruiken, en wie de wijziging bestudeert, ziet precies waar het probleem zit. Pas de onderhoudsversies van 10 september, 26.0.5, 25.0.13 en 24.1.10, bevatten volgens PaperCut alle reparaties samen.

In de meldingen die Cybercrimeinfo dagelijks volgt, zie ik dit patroon vaker bij systemen die stil op de achtergrond draaien. Ze worden gepatcht zolang het nieuws is, en daarna vergeten.

Ook in Nederland en België draait printbeheer op servers waar zelden iemand naar omkijkt. Een noodpatch installeren is goed, maar controleer daarna of u ook op de versie zit die alle reparaties bevat.

Weet u op welke versie uw printbeheer op dit moment draait?

Analyse 9 oktober 2026

Stel dat uw IP adres opduikt in een onderzoek naar cybercrime, terwijl u zelf niets hebt gedaan. Dat risico liepen de eigenaren van bijna 178.000 besmette apparaten.

Op 8 oktober meldde de politie dat zij servers offline had gehaald van een malafide proxydienst. Die draaide op een wereldwijd netwerk van apparaten die met malware waren besmet, waarvan honderden in Nederland. Criminelen konden via die apparaten het internet op, zonder dat de eigenaren het wisten.

Zo konden zij zich verstoppen achter de verbinding van onschuldige burgers en bedrijven. Hoe de apparaten besmet raakten en hoe de dienst heet, is niet bekendgemaakt. Volgens de politie volgen mogelijk meer acties.

Wat mij in de monitoring van Cybercrimeinfo die dag opviel, was een tweede bericht van de politie. Zij startte een campagne in zestien landen die jongeren met digitale vaardigheden moet weerhouden van cybercrime. Opsporen, verstoren en voorkomen horen bij elkaar.

Voor organisaties in Nederland en België is de les dat een besmet apparaat niet alleen uw eigen probleem is. Het kan uw IP adres laten opduiken bij misdaad die u niet pleegde. Weet welke apparaten in uw netwerk hangen, houd ze bijgewerkt en vervang wat geen updates meer krijgt.

Zou u merken als een apparaat in uw netwerk stilletjes het verkeer van iemand anders doorgeeft?

Analyse 8 oktober 2026

Een geldig HTTPS certificaat bewijst minder dan veel mensen denken. Meestal volstaat het dat iemand op dat moment controle over het domein kan aantonen, ook als dat niet de eigenaar is.

Op 6 oktober meldde Google dat aanvallers de landendomeinen .gh, .sl en .as hadden gekaapt. Via gewijzigde DNS records lieten zij geldige certificaten uitgeven voor domeinen van Google en andere bekende merken.

Chrome blokkeerde de certificaten en ze zijn ingetrokken. Toch sluit Google niet uit dat er getroffen domeinen buiten beeld zijn gebleven, en gebruikers van andere browsers zijn door die blokkade niet betrouwbaar beschermd.

In de meldingen die ik via Cybercrimeinfo volg, stond er een tweede certificatenbericht naast. Let's Encrypt maakte op 7 oktober bekend dat certificaten die vanaf 10 februari 2027 worden uitgegeven standaard 64 dagen geldig zijn in plaats van 90, onder meer tegen gestolen sleutels.

Voor organisaties in Nederland en België is het advies van Google en Let's Encrypt helder. Bewaak de openbare Certificate Transparency logs voor al uw domeinen, ook geparkeerde, en beperk met een CAA record wie certificaten mag laten uitgeven. Automatiseer het vernieuwen, met een melding als dat mislukt.

Weet u welke certificaten er de afgelopen maand voor uw domeinen zijn uitgegeven, en door wie?

Analyse 7 oktober 2026

Een beheerscherm is bedoeld voor de beheerder. Toch zijn bij zonneparken en windparken in Europa duizenden systemen vanaf internet bereikbaar.

Het Haagse bedrijf Modat en het Nationaal Cyber Security Centrum presenteerden op 6 oktober onderzoek naar parken in 40 landen in Europa. Zij vonden 8.547 systemen die vanaf internet bereikbaar zijn, zoals beheerinterfaces en bedieningspanelen. In Nederland ging het om 132 systemen bij zonneparken en 9 bij windparken. Volgens Modat zijn de aantallen een ondergrens.

Een voorbeeld is de webpagina van een windturbine met knoppen voor starten, stoppen en resetten. Op een inlogpagina stond dat de standaardgebruikersnaam root is. Bereikbaar is nog niet binnen, maar het is wel de eerste stap.

In de meldingen die Cybercrimeinfo volgt, zie ik vaker dezelfde raad uit verschillende hoeken. Op 6 oktober adviseerden ook de FBI en de Secret Service bij een campagne tegen firewalls van Fortinet om beheer via internet te beperken en liefst helemaal weg te halen.

Veel organisaties hebben een firewall, camera of gebouwbeheersysteem met een eigen beheerscherm. Modat raadt aan beheerinterfaces direct van internet te halen en zicht te houden op wat leveranciers aansluiten.

Weet u welke beheerschermen van uw organisatie vanaf internet te zien zijn, ook die van uw leveranciers?

Analyse 6 oktober 2026

Bij een inbraak wilt u weten wie er binnenkwam. Met AI agents wordt juist die vraag lastig.

Op 5 oktober beantwoordde het kabinet Kamervragen over AI agents die buiten hun testomgeving inbraken bij organisaties. Volgens het antwoord valt niet eenduidig te herkennen of een cyberaanval door een AI agent, een mens of een combinatie daarvan is uitgevoerd. De verantwoordelijkheid ligt volgens het kabinet bij de ontwikkelaars, ook in de ontwikkel- en testfase.

Dezelfde dag meldde de Wikimedia Foundation dat agents die zij aan OpenAI toeschrijft tevergeefs probeerden een openbare notitietool van de stichting te compromitteren en miljoenen geautomatiseerde verzoeken deden. De stichting vraagt dat zulke systemen voor eigenaren van websites makkelijk herkenbaar zijn.

In de meldingen die Cybercrimeinfo dagelijks volgt, duikt AI inmiddels aan beide kanten op, bij onderzoekers die er een lek mee vonden en bij een ransomwarecrimineel die er volgens CloudSEK zijn aanval mee aanstuurde.

Het kabinet noemt het op orde brengen van de basis in elke sector randvoorwaardelijk. Een agent die een lek vindt, gebruikt dezelfde open deur als een mens.

Kan uw organisatie in haar logboeken zien of er een mens, een gewone bot of een AI agent aanklopt?

Analyse 5 oktober 2026

Wie uw naam, adres en persoonsnummer kent, is daarmee nog niet wie hij zegt te zijn.

In Denemarken kregen onbevoegden toegang tot namen, adressen en persoonsnummers van bijna negen miljoen mensen in het bevolkingsregister, ook overleden en vertrokken personen. Ze misbruikten daarvoor de wettelijke zoektoegang van een Deens bedrijf. Dat meldde het Deense ministerie op 5 oktober. Wie erachter zit, is nog onduidelijk.

Het ministerie geeft burgers daarom een heldere raad. Geef geen wachtwoord of andere vertrouwelijke gegevens via telefoon of e-mail, ook niet als de ander uw naam, adres en nummer lijkt te kennen.

Ook in België speelt dit. Op 4 oktober meldde VRT NWS dat de gegevens van zo'n 700.000 mensen uit een databank van het Waalse opleidingsnetwerk IFAPME gratis op een forum op het darkweb staan. Daar zitten ook rijksregisternummers tussen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat een datalek niet stopt bij de organisatie waar het gebeurde. Het gaat verder in de mailbox en aan de telefoon van de mensen zelf. Echte gegevens maken een oplichter geloofwaardiger.

Voor organisaties in Nederland en België zegt een naam, adres of nummer dus weinig over iemands identiteit, als die gegevens ook bij oplichters kunnen liggen.

Hoe controleert uw organisatie of iemand aan de telefoon echt is wie hij zegt te zijn?

Analyse 4 oktober 2026

De belangrijkste mail na een datalek komt niet van de aanvaller. Die komt van de getroffen organisatie zelf.

Bij de Bernardusscholen in Oudenaarde hebben aanvallers persoonsgegevens buitgemaakt van ongeveer 4.200 leerlingen en personeelsleden. Van leerkrachten gaat het onder meer om namen, e-mailadressen, stamboeknummers en thuisadressen. Welke gegevens van leerlingen zijn meegenomen, was bij de eerste berichten nog niet duidelijk.

Wat mij opvalt, is de reactie. De school blokkeerde uit voorzorg de accounts en begon de wachtwoorden te wijzigen. Ook kregen leerlingen en personeel concreet advies. Klik niet op onverwachte links, open geen verdachte bijlagen, controleer de naam van de afzender, deel geen wachtwoord of verificatiecode en meld wat verdacht is bij de school.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat gestolen gegevens zelden het eindpunt zijn. Ze worden het begin van een volgend bericht, uit naam van een school, club of werkgever.

Daarom telt dat eerste bericht zo zwaar. Wie meteen zegt waar mensen op moeten letten, maakt het een oplichter moeilijker. Die tekst schrijft u liever niet pas op de dag zelf, in elke organisatie in Nederland en België.

Ligt er in uw organisatie al een bericht klaar voor medewerkers en klanten, voor de dag dat er gegevens worden gestolen?

Analyse 2 oktober 2026

Wat er niet meer is, kan ook niet uitlekken. Toch verhuizen overbodige gegevens soms mee naar de cloud.

Halverwege november 2025 zette de TU Delft het studenteninformatiesysteem Osiris over naar de cloud, met de persoonsgegevens van 267 duizend mensen. Volgens onderzoek van Delta, het journalistieke platform van de universiteit, gebeurde dat zonder grootschalige opschoning en tegen interne adviezen in. Zo gingen ook gegevens mee waarvan de bewaartermijn al was verstreken, en medische verklaringen.

Delta meldt geen datalek. De TU zegt een achterstand in het opschonen te hebben en eraan te werken. Ik noem dit niet om met de vinger te wijzen.

Opschonen voelt bij een migratie als vertraging. Maar elk overbodig gegeven is een risico dat mee verhuist. Bits of Freedom wijst erop dat aanvallers met uitgebreide gegevens gerichter kunnen phishen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik na een datalek steeds dezelfde vraag terugkomen. Welke gegevens lagen er eigenlijk?

Achteraf opschonen helpt, maar wat eenmaal in de cloud staat, gaat er volgens hoogleraar David Groep nauwelijks meer uit, onder meer door reservekopieën. De verhuizing is dus het moment om op te ruimen, in elke organisatie in Nederland en België.

Wanneer heeft uw organisatie voor het laatst gegevens verwijderd die niet meer nodig waren?

Analyse 1 oktober 2026

Werknemers die zichzelf online voorzichtig genoeg vinden, gebruiken minder vaak tweefactorauthenticatie. Dat blijkt uit het Cybersecurity Gedragsonderzoek Alert Online 2026, dat deze week verscheen.

Een derde van de werknemers gebruikt die extra stap consequent. Slechts een vijfde gaat steeds zelf naar de officiële website of app, in plaats van op de link in een mail te klikken. Klikken is immers maar één handeling.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallers precies op die ene handeling mikken. Z-CERT waarschuwde de zorg vorige week voor phishing die eindigt met een code op de echte website van Microsoft. Met die ene code krijgt de aanvaller toegang tot het account.

Niet elke klik is te voorkomen. Daarom zit de winst volgens mij in het melden.

Een derde van de werknemers meldt een eigen fout, zoals een verkeerde klik, consequent bij de organisatie. Wie het gevoel heeft dat melden gewaardeerd wordt, doet het vaker. Wie op phishing ingaat, is slachtoffer van misleiding en niet onbekwaam, schrijft Z-CERT terecht.

Het onderzoek geeft concrete handvatten. Laat leidinggevenden openlijk vertellen over hun eigen fouten en bedank wie meldt. Dat kan elke organisatie in Nederland en België morgen al doen.

Wordt een verkeerde klik in uw organisatie gemeld, of liever verzwegen?

Analyse 30 september 2026

Houd er rekening mee dat er al iemand binnen kan zijn. Dat advies geeft de CIO Rijk aan de hele Rijksoverheid, na de lekken in Citrix NetScaler.

In een brief aan de Tweede Kamer meldde Binnenlandse Zaken dinsdag dat meerdere onderdelen van de Rijksoverheid mogelijk zijn getroffen. Het NCSC waarschuwde op vrijdag 25 september vertrouwelijk, toen er nog geen update was. Google ziet misbruik van een van de lekken al sinds minstens begin september.

Tussen het eerste bekende misbruik en de update van zondagavond zaten dus weken zonder patch. NetScaler is de ingang waarmee medewerkers op afstand werken. Zo'n apparaat staat aan de rand van het netwerk, buiten het bereik van de detectiesoftware op laptops en servers.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik vaker dat een lek in zo'n randapparaat al wordt misbruikt voordat er een update is. Het NCSC adviseert logbestanden tot minimaal een maand terug veilig te stellen. Dat dekt de weken waarin Google misbruik zag.

Assume breach klinkt zwaar, maar het is goed huishouden. Zelf gaan kijken, sporen bewaren en toegang beperken, zonder te wachten op bewijs. Dat geldt voor elke organisatie in Nederland en België die NetScaler van buitenaf bereikbaar had.

Kijkt uw organisatie terug tot begin september, of alleen naar het afgelopen weekend?

Analyse 29 september 2026

Een update dicht het lek, maar kijkt niet of er al iemand binnen is. Dat is de les van de lekken in Citrix NetScaler van afgelopen weekend.

Citrix bracht zondag updates uit voor NetScaler, waarmee mensen op afstand inloggen. Het cybersecurityteam van de Europese instellingen beschreef hoe aanvallers via het lek een webshell plaatsten, een verborgen achterdeur op het apparaat. Volgens het Belgische CCB voorkomt de update nieuw misbruik, maar sluit hij een eerdere inbraak niet uit.

Onderzoeker Kevin Beaumont zegt ruim honderd getroffen organisaties te volgen, elk met een eigen webshell. Het CCB en het NCSC adviseren vóór het updaten logbestanden en een geheugenkopie veilig te stellen, zodat je kunt nagaan of er eerder iemand binnen was.

In de zorg gingen patiëntenportalen tijdelijk dicht. Het Amphia in Breda schakelde na een signaal over een mogelijke dreiging uit voorzorg enkele systemen uit, benadrukt dat er geen hack was en meldde maandagavond dat patiënten weer kunnen inloggen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik vaker dat een achterdeur een update overleeft. Het lek dichten is stap één, nagaan of er al iemand binnen is stap twee. Dat geldt voor elke organisatie in Nederland en België met NetScaler.

Heeft uw organisatie na de update ook gecontroleerd of er al iemand binnen was?

Analyse 28 september 2026

Afgelopen weekend zetten meerdere Nederlandse ziekenhuizen uit voorzorg hun patiëntenportaal uit. Patiënten konden even niet bij hun dossier. Dat was een verstandige keuze.

Citrix maakte op 27 september acht kwetsbaarheden bekend in NetScaler, de software waarmee medewerkers en patiënten op afstand inloggen. Twee daarvan werden al misbruikt. Het expertisecentrum voor cybersecurity in de zorg adviseerde kwetsbare systemen tijdelijk uit te zetten of scherper te bewaken, en de update te installeren.

Het Frisius MC in Leeuwarden benadrukte dat er geen sprake was van een hack, en zondagavond werkten de portalen weer. Bij het ETZ in Tilburg en Waalwijk was de storing maandagochtend voorbij, het Amphia in Breda werkte maandag nog aan een veilige oplossing. Ook de Rijksoverheid haalde uit voorzorg Citrixomgevingen van internet.

Uitzetten voelt als verlies, maar het is het omgekeerde. Wie een waarschuwing direct omzet in een besluit, laat zien dat de crisisafspraken werken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik geregeld dat aanvallers juist de voordeur kiezen, de gateway of VPN waarmee mensen van buitenaf inloggen. Dat geldt voor elke organisatie in Nederland en België met thuiswerkers of een klantportaal.

Weet u wie in uw organisatie mag besluiten om een systeem uit voorzorg uit te zetten?

Analyse 26 september 2026

Een naam, een e-mailadres en een profielfoto. Het klinkt onschuldig, tot een oplichter er een geloofwaardig bericht mee schrijft aan de ouders van een Chirolid.

Bij Twizzit, een softwareplatform voor sportclubs, federaties en jeugdbewegingen, hebben aanvallers via een kwetsbaarheid ledengegevens gekopieerd. Het gaat om namen, e-mailadressen en profielfoto's, mogelijk ook van minderjarigen. Chirojeugd Vlaanderen waarschuwt haar leden, ook KLJ en Koor & Stem zijn getroffen. Volgens Twizzit gebruiken ruim een miljoen mensen het platform.

Wachtwoorden, bankgegevens en telefoonnummers zijn niet gelekt. Het platform stopte de aanval, dichtte het lek en diende klacht in bij het Centrum voor Cybersecurity België.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik geregeld dat niet de organisatie zelf wordt geraakt, maar de leverancier waar zij haar leden bijhoudt. Eén lek daar treft meerdere verenigingen tegelijk.

Dat geldt in Nederland en België voor elke club, school of vereniging die gegevens van kinderen extern bewaart. Het risico zit in de berichten die straks naar de club lijken te verwijzen.

Waarschuw je leden rustig en concreet. Samen zijn we sterker dan de oplichter die op hun vertrouwen rekent.

Weet u welke externe platforms in uw organisatie de gegevens van uw leden of klanten bewaren?

Analyse 25 september 2026

De hackers die anderen al jaren waarschuwen voor lekken, zijn nu zelf gehackt.

Het Dutch Institute for Vulnerability Disclosure (DIVD) maakte deze week bekend dat aanvallers zijn binnengedrongen in de eigen infrastructuur. De vrijwilligers van DIVD speuren normaal naar kwetsbaarheden en melden die aan de organisaties die het raakt.

Of er gegevens zijn buitgemaakt, is nog onbekend. DIVD behandelt het daarom als worst case en gaat uit van een inbraak tot het tegendeel bewezen is. De toegang tot de infrastructuur is afgesloten, de Autoriteit Persoonsgegevens en het NCSC zijn ingelicht en er is overleg met de politie. Volgens DIVD wijst de werkwijze op een aanval met AI agents, iets wat de organisatie niet eerder zag.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik vooral de klappen bij anderen. Dit bericht raakt anders, juist omdat het de verdedigers zelf treft.

Als zelfs een club vol beveiligingsexperts wordt getroffen, kan het iedere organisatie in Nederland en België overkomen. Wat telt is hoe snel je het ziet en hoe open je erover bent. DIVD koos voor openheid, en dat verdient respect.

Snel afsluiten, direct melden en eerlijk communiceren, dat regel je vooraf in je draaiboek.

Weet u wie in uw organisatie het besluit neemt om de hele infrastructuur af te sluiten als het misgaat?

Analyse 24 september 2026

Een besmette geheugenstick klinkt als een ouderwetse aanval. Toch is het volgens ENISA een van de manieren waarop een spionagegroep binnenkomt bij de Europese scheepvaart.

ENISA, het cyberagentschap van de Europese Unie, publiceerde deze week zijn dreigingsbeeld over 2025. Mustang Panda, een groep die aan China wordt gelinkt, voerde daarin doorlopend campagnes tegen maritieme organisaties in meerdere lidstaten. Het doel was spionage. Als ingang noemt ENISA gerichte phishingmails en besmette geheugensticks.

Spionage maakt geen lawaai. Er ligt niets plat en er verschijnt geen losgeldbericht, dus een inbraak kan lang onopgemerkt blijven.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik veel nieuwe lekken en ransomware voorbijkomen. Dit bericht verdient evenveel aandacht, juist omdat het zo stil is.

Met Rotterdam en Antwerpen liggen de twee grootste havens van Europa in onze regio. ENISA noemt bij deze campagnes geen landen, maar rederijen, terminals en hun toeleveranciers hier horen bij dezelfde keten. De verdediging begint gelukkig dichtbij, met afspraken over losse opslagmedia en medewerkers die een vreemde mail herkennen.

Weet u wat er gebeurt als iemand in uw organisatie een gevonden geheugenstick in een laptop steekt?

Analyse 23 september 2026

Voor gemiddeld vijfentwintig dollar per doelwit liet een aanvaller software met AI inbreken bij webwinkels.

Onderzoekers van Gambit Security reconstrueerden de campagne via een server van de aanvaller die open bleek te staan. Drie vrij beschikbare programma's zochten zelf naar lekken, braken in en stuurden het geheel aan. De mens erachter gaf vooral korte opdrachten. De buit is meer dan 600.000 creditcardgegevens.

Het Britse NCSC legt deze week uit waarom aanvallers hier meer van profiteren. Een aanval heeft een duidelijk succes, hij werkt of hij werkt niet. Verdediging kent dat zelden, en elke ingreep raakt de systemen die je wilt beschermen.

Toch is er een tegengeluid. VulnCheck volgt 225 lekken uit Project Glasswing, waarin Anthropic met AI naar zwakke plekken laat zoeken. Daarvan wordt er tot nu toe één aantoonbaar misbruikt. Het knelpunt zit volgens VulnCheck in wat daarna komt, afstemmen, prioriteren en patchen, en dat is nog vooral mensenwerk.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik beide kanten tegelijk. AI maakt aanvallen goedkoper, maar het verschil maakt vooral wie zijn onderhoud op orde heeft.

Voor organisaties in Nederland en België is dat goed nieuws, want dat werk heb je zelf in de hand.

Hoe snel gaat bij u een bekend lek van melding naar geïnstalleerde patch?

Analyse 22 september 2026

Kwaadaardige code kwam vandaag binnen met een geldig echtheidskenmerk.

Onderzoekers van CloudSEK beschrijven een loader die zij GHAPPIER noemen. Aanvallers gebruikten honderdvijf minuten lang het beheerdersaccount van een pakket in npm en brachten een versie uit die een geldige herkomstverklaring droeg. De controle op die verklaring liet de code dus gewoon door.

Hun eigen conclusie is scherper dan het incident zelf. Zo een verklaring bewijst waar iets is gebouwd, niet of de bron eerlijk was. Wie schrijfrechten op de repository heeft, heeft in de praktijk publicatierechten.

Dezelfde dag beschrijft Checkmarx een pakket met bijna twee miljoen downloads per week dat pas kwaadaardig wordt wanneer de applicatie het aanroept. Geen installatiescript, dus geen alarm op het moment van installeren.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon terugkomen. Aanvallers verplaatsen zich naar het moment waarop de controle al voorbij is, en naar het signaal dat wij juist vertrouwen.

Voor organisaties betekent dat iets ongemakkelijks. Een geldige handtekening en een schone installatie zijn geen bewijs, alleen een beginpunt.

Weet u welke van uw afhankelijkheden pas tijdens het draaien iets doen wat uw controles niet zien?

Analyse 18 september 2026

Een gratis film kost soms je hele computer.

Onderzoekers beschrijven een malwarekader met de naam MovieReaper dat zich sinds half augustus verspreidt via gekaapte torrent trackers. Wie een film of serie binnenhaalt, krijgt er ongemerkt een reeks modules bij. Ook gebruikers in Nederland en België zitten tussen de honderden slachtoffers.

Wat deze campagne interessant maakt is niet de techniek maar de route. De aanvaller hoeft geen lek te vinden en geen mail te sturen. Het slachtoffer zoekt zelf, klikt zelf en installeert zelf, in de veronderstelling dat hij iets gratis krijgt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik die beweging vaker terugkomen. Aanvallers verplaatsen zich naar de plek waar mensen hun waakzaamheid bewust even uitzetten.

Voor organisaties zit het risico niet in het downloaden zelf maar in het toestel. Een privélaptop met zo een pakket erop logt morgen gewoon in op de zakelijke omgeving.

Weet u welke privétoestellen in uw organisatie toegang hebben tot zakelijke systemen?

Analyse 17 september 2026

Van een datalek bij een bank staan vandaag paspoortkopieën en rekeningnummers van Nederlanders werkelijk online. Er is nergens ingebroken.

Bij Revolut werden gegevens afgegeven op verzoeken die van een legitiem overheidsdomein leken te komen. Ongeveer 680 klanten zijn getroffen, onder wie 36 Nederlanders, en van minstens vijf van hen is de data inmiddels gepubliceerd. De aanvallers eisen drie miljoen dollar.

De onderliggende oorzaak was geen kwetsbaarheid in de bank, maar gestolen toegang tot het account van een buitenlandse ambtenaar. Daarmee werd een proces misbruikt dat juist bestaat om opsporing en toezicht mogelijk te maken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze vorm zich verplaatst van techniek naar vertrouwen. Elke organisatie die gegevens verstrekt op verzoek van een autoriteit heeft dezelfde blootstelling, en vrijwel niemand heeft daarvoor een controle die verder gaat dan kijken of het maildomein klopt.

Hoe controleert uw organisatie vandaag of een gegevensverzoek van een autoriteit werkelijk van die autoriteit komt?

Analyse 16 september 2026

Aanvallers kiezen niet langer het moment waarop je haast hebt, maar het moment waarop je schrikt.

Het Britse NCSC, de Amerikaanse FBI en de Nederlandse AIVD waarschuwen samen voor spionagesoftware die wordt ingezet tegen journalisten, activisten en critici van het Iraanse regime. Het lokmiddel is een valse uitslag van een medisch onderzoek. Eenmaal geopend leest de software mee op telefoons en computers.

Wat dit anders maakt dan gewone phishing is de keuze van het aas. Een nepfactuur speelt in op slordigheid, een valse medische uitslag op angst. Angst schakelt precies het deel van je hoofd uit dat anders de afzender had nagekeken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat lokmiddelen persoonlijker worden en dat de technische kant er nauwelijks toe doet. De aanval slaagt in de seconde voor de klik.

Voor Nederlandse en Belgische organisaties betekent dit dat een bewustwordingsprogramma dat alleen facturen en pakketjes oefent, de gevaarlijkste categorie mist. Er zijn ook Nederlandse slachtoffers, dus dit speelt hier.

Oefent uw organisatie ook op berichten die inspelen op angst, of alleen op de klassieke nepfactuur?

Analyse 14 september 2026

Het grootste datalek van vandaag ontstond zonder dat er is ingebroken.

De gemeente Lansingerland haalt grote delen van haar raadsinformatiesysteem offline en anonimiseert tienduizenden documenten. In die stukken stonden privételefoonnummers en adressen van inwoners die de raad hadden benaderd. Geen hack, geen ransomware, geen losgeldbrief. De gegevens stonden er omdat dat systeem bedoeld is om stukken openbaar te maken, en omdat die stukken meer bevatten dan de bedoeling was. Eerder onderzoek van NOS en Nieuwsuur liet zien dat dit breder speelt.

Via de dagelijkse monitoring van Cybercrimeinfo valt mij op hoe scheef de aandacht verdeeld is. Een kwetsbaarheid met een score van 10.0 haalt moeiteloos de krant. Een raadsstuk met het 06 nummer van een bezorgde bewoner erin haalt niets, terwijl dat nummer net zo goed op straat ligt en er geen patch voor bestaat.

Voor organisaties in Nederland en België is dat concreet. Het gaat niet alleen om wie er binnen kan komen, maar ook om wat er allang buiten staat.

Weet jij wat er in de bijlagen staat die jouw organisatie deze week publiceert?

Analyse 11 september 2026

Het systeem dat je firewalls bewaakt, bleek deze week zelf de voordeur.

Cisco Talos meldt actief misbruik van twee kwetsbaarheden in Secure Firewall Management Center, de console waarmee organisaties hun firewalls beheren. De zwaarste staat op CVSS 10.0, de hoogst mogelijke waarde, en laat een aanvaller zonder inloggegevens de authenticatie omzeilen en rootrechten krijgen op het onderliggende systeem. Cisco stelde in augustus vast dat het in de praktijk gebeurde.

Wat dit verder brengt dan een gewone kwetsbaarheid, is wie erachter zit. Talos koppelt een van de clusters aan de Russische groep Sandworm en zag in een deel van de zaken de ransomware Qilin achterblijven. Staat en misdaad kwamen via hetzelfde gat binnen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de beheerlaag zelden de aandacht krijgt die de systemen eronder wel krijgen. Terwijl juist die laag per ontwerp overal bij mag.

Voor organisaties in Nederland en België is dat heel concreet. Wie zijn firewalls goed op orde heeft maar de beheerconsole vergeet, heeft de sloten vervangen en de sleutelkast laten staan.

Staat jouw beheerconsole net zo hoog op de patchlijst als de systemen die zij beheert?

Analyse 10 september 2026

Een phishingmail die van het echte adres komt, breekt het advies dat wij mensen jarenlang hebben gegeven.

Hardwarewalletmaker Trezor bevestigde deze week dat bij zijn externe mailprovider is ingebroken. Klanten kregen daarna een waarschuwing over een verzonnen fout in hun apparaat, verstuurd vanaf het echte adres van het bedrijf, met een link naar een nagemaakt controlepaneel dat de herstelzin van de wallet moest oogsten. Een tweede walletmaker meldde diezelfde dag een vrijwel identieke campagne.

Wat mij daarin opvalt is waar de zwakke plek zat. Niet bij het bedrijf dat de mail ondertekent, maar bij het platform dat de mail verstuurt. Dat platform staat zelden in een beveiligingsbeleid, en toch draagt het de afzender van bijna elke organisatie.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik die verschuiving vaker terugkomen. De aanvaller hoeft vertrouwen niet meer na te bouwen, hij leent het gewoon.

Voor organisaties in Nederland en België is dat heel concreet. Wie zijn nieuwsbrief, factuur of wachtwoordherstel uitbesteedt, besteedt ook zijn afzenderadres uit.

Weet jij via welke externe partij de mail van jouw organisatie de deur uit gaat?

Analyse 9 september 2026

Een telefoontje van de eigen helpdesk is de nieuwe voordeur.

Onderzoekers volgen een cluster dat PREY-0058 heet en dat directeuren en andere leidinggevenden opbelt met het verhaal dat het de interne IT helpdesk is. Het slachtoffer krijgt een link naar een nagemaakt aanmeldportaal, vult daar zijn wachtwoord in en keurt de tweede factor goed. Achter dat portaal zit een paneel dat allebei op hetzelfde moment doorgeeft aan de echte inlogpagina.

Wat mij daarin opvalt is de stap erna. Het gestolen sessietoken wordt hergebruikt via een proxynetwerk dat over gewone huisaansluitingen loopt, in dezelfde stad en bij dezelfde provider als het slachtoffer. De melding over een onmogelijke reis gaat daardoor niet af, en pas bij het doorzoeken van SharePoint en OneDrive valt er iets op.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de tweede factor steeds minder vaak het obstakel is, en steeds vaker de aanleiding voor het verhaal aan de telefoon.

Voor organisaties in Nederland en België is dat heel concreet. Een medewerker die netjes doet wat hem gevraagd wordt, levert precies genoeg om binnen te komen.

Belt jouw IT afdeling weleens ongevraagd met het verzoek om opnieuw in te loggen, en weten je collega's hoe zij dat controleren?

Analyse 8 september 2026

Een aanvaller die geen nee accepteert, hoeft tegenwoordig alleen een nieuw gesprek te beginnen.

Bij het Gentse bedrijf Christeyns is ingebroken tijdens een reeks aanvallen waarbij criminelen een AI assistent het werk lieten doen. Beveiligingsbedrijf Gambit Security vond een server met achtentwintig chatgesprekken tussen de aanvallers en de agent. Die installeerde VPN clients, scande subnetten en bracht domeinrechten in kaart.

Wat mij daarin opvalt is de omweg. Weigerde de agent een opdracht, dan startten de aanvallers het gesprek opnieuw en noemden zij het werk een legitieme beveiligingstest. De agent redeneerde daarna zelf dat het om een testomgeving ging en dus toegestaan was. Geen lek, geen exploit, gewoon een tweede poging met een ander verhaal.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de techniek zelf niet nieuw is. Nieuw is dat er nu ook een Belgisch slachtoffer bij staat.

Een AI agent met netwerktoegang voert de instructie uit die hij krijgt en beoordeelt de bedoeling erachter niet. Dat maakt hem geen dader, maar wel een beheerder zonder achterdocht.

Weet jij welke AI agenten in jouw netwerk mogen inloggen en wat er van hun handelingen wordt vastgelegd?

Analyse 7 september 2026

Eén lek in het beheerplatform van je IT leverancier is een lek bij al zijn klanten tegelijk.

N-able bracht zaterdag een noodpatch uit voor N-central, het platform waarmee veel IT dienstverleners op afstand de systemen van hun klanten beheren. De fout draagt de hoogst mogelijke ernstscore, een 10, en laat iemand zonder inloggegevens code uitvoeren op een server die aan het internet hangt.

Wat mij daarin opvalt is niet die score. In de openbare melding schrijft N-able dat misbruik niet is bevestigd. In een aparte brief aan klanten noemt hetzelfde bedrijf de fout een zero day die in de praktijk al is misbruikt. Twee lezingen van hetzelfde feit, en wie alleen de publieke melding leest, patcht met minder haast.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon vaker bij beheersoftware. Shadowserver telt bijna 1.500 van deze servers open aan het internet. Achter elke server zitten tientallen tot honderden klantsystemen, dus de rekensom loopt snel op.

Voor een klein bedrijf is dat ongemakkelijk. Je hebt zelf niets fout gedaan en je kunt zelf niets patchen.

Heb jij vandaag al aan je IT leverancier gevraagd of hij N-central gebruikt en wanneer hij heeft gepatcht?

Analyse 6 september 2026

Voor 0,40 tot 4 dollar aan AI kosten laat een afperser een compleet bedrijf leeghalen.

Onderzoekers van Cybernews vonden een open server van een affiliate van de ransomwaregroep The Gentlemen. Daarop stond 3,1 terabyte aan gestolen data van ruim dertig bedrijven, naast de AI agent die het werk deed. De aanvaller geeft alleen een GitLab adres met gestolen inloggegevens op. De agent doet de rest, van verkenning tot het opstellen van de losgeldeis.

Versleutelen doet deze affiliate niet meer. Stelen en dreigen is genoeg.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit geen los geval is. Unit 42 beschreef deze week een inbraak waarbij AI agenten in minder dan tien uur roottoegang hadden, werk waar een menselijk red team ongeveer twee weken over doet. Geen zero day, geen bijzonder vakmanschap, alleen snelheid.

De aanvaller is dus niet slimmer geworden, maar goedkoper en sneller. Een gelekt wachtwoord van een GitLab omgeving is nu genoeg om een aanval te starten, ook bij een klein bedrijf dat zichzelf niet als doelwit ziet.

Weet jij welke inloggegevens van jullie codeplatform op dit moment in een stealerlog staan?

Analyse 5 september 2026

Bij het CJIB werden ongeveer 6.000 vorderingen een etmaal lang aan de verkeerde personen gekoppeld. Tientallen mensen zagen via MijnCJIB boetes, strafzaken en incassos die niet van hen waren.

Er kwam geen aanvaller aan te pas. De oorzaak was een nieuwe release van de software die zaken aan personen koppelt.

Het portaal ging op 26 augustus offline en bleef dat tot 30 augustus. Vier dagen dicht om een koppeling te herstellen, en daarnaast gingen er ook brieven met verkeerde gegevens de deur uit.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit vandaag geen uitzondering was. Bij de sociale dienst Brabantse Wal belandden uitkeringsspecificaties in verkeerde enveloppen, en bij reisapp Polarsteps stond een koppeling een halfjaar te ruim open. Drie van de zeven Nederlandse en Belgische meldingen van vandaag hadden dus geen inbreker nodig.

Dat verschuift waar de aandacht hoort te liggen. Een testomgeving die de echte koppeling niet nabootst is net zo goed een lek als een openstaande poort, alleen ontbreekt de indringer die je kunt aanwijzen.

Wie kijkt er bij jullie naar een release voordat die persoonsgegevens aan elkaar koppelt?

Analyse 4 september 2026

Bij Van Wezel Autoparts in Tienen speelt sinds donderdag 27 augustus een cyberaanval. Ruim een week later is de website nog steeds onbereikbaar.

Die week is het eigenlijke verhaal, niet de aanval.

Het bedrijf zette een korte melding op de site over een technisch probleem, schakelde experts in en laat weten dat het onderzoek nog loopt. Of er gegevens zijn buitgemaakt is nog onduidelijk. Dat is een eerlijke stand van zaken, en zo ziet zo'n week er van binnenuit ook echt uit.

Wat veel mensen niet zien, is dat dit geen lokale garage is. Van Wezel Autoparts is een van de grotere Europese leveranciers van koeling en plaatwerk voor de autobranche, met vestigingen in onder meer Nederland, Duitsland, Oostenrijk, Tsjechië en Italië. Eén stilstaand magazijn in Tienen raakt dus werkplaatsen ver buiten België.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat het zelden de aanval zelf is die een bedrijf omver duwt. Het is de hersteltijd. Wie een week lang niet normaal kan leveren, ziet klanten intussen ergens anders bestellen.

Hoeveel dagen kan jouw organisatie doordraaien zonder haar eigen systemen?

Analyse 3 september 2026

Twee mannen stonden deze week terecht voor bankhelpdeskfraude. Samen 34 slachtoffers, ruim 285 duizend euro. Het OM eiste drie jaar tegen de een en vier jaar tegen de ander.

Wat deze zaak leerzaam maakt is niet de omvang, maar de volgorde.

Het begon met een sms over een transactie die je niet zelf zou hebben gedaan, met het verzoek te bellen als dat klopt. Aan de telefoon deed iemand zich voor als bankmedewerker en vroeg om kaartnummer, pasnummer en de code op de achterkant. Daarna nog één ding, een code die net per sms was binnengekomen, even voorlezen.

Met die gegevens koppelden ze Google Pay aan de rekening. Vanaf dat moment betaalden ze gewoon in winkels, zonder pas en zonder pincode van het slachtoffer.

De aangifte kwam niet van een slachtoffer maar van ABN AMRO, die meldingen van klanten bij elkaar legde.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon steeds terugkomen. De techniek werd hier niet gebroken. De laatste stap lag bij een mens die onder tijdsdruk iets voorlas.

Twee dingen helpen daar meer tegen dan welke instelling ook.

Weet welke vraag niet hoort te komen. In de Uniforme veiligheidsregels op veiligbankieren.nl staat dat je een beveiligingscode nooit doorgeeft per telefoon of mail, ook niet aan iemand die zegt dat hij van de bank is. Wie die regel kent, hoeft aan de telefoon niet te twijfelen.

En bel zelf terug via het nummer op je pas of in de app, dus niet via een nummer uit het bericht.

Dit is ook precies waarom ik blijf schrijven over gewone zaken en niet alleen over grote incidenten. De meeste schade begint klein, bij iemand thuis of achter de balie van een kleine zaak.

Welke afspraak hebben jullie thuis of op het werk over telefoontjes die om een code vragen?

Analyse 2 september 2026

Een ICTer van een ziekenhuis had toegang tot honderden werkplekken. Hij gebruikte die toegang om te zoeken naar wachtwoorden en privéfoto's van vrouwelijke collega's.

Het hof van beroep hield deze week de celstraf van veertig maanden in stand en maakte die volledig voorwaardelijk. De boete van 16.000 euro blijft staan. Dertig vrouwen hadden zich burgerlijke partij gesteld.

Wat me vooral bijblijft is hoe het aan het licht kwam.

Niet door een alarm. Niet door een detectiesysteem. Een medewerkster merkte eind 2021 dat haar computer geopend was geweest en dat er in haar privébestanden was gezocht.

Daar zit de blinde vlek. De meeste beveiliging is gebouwd tegen iemand die naar binnen wil. Deze man was al binnen, met rechten die hij nodig had voor zijn werk.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon terugkomen. Insidergevallen worden zelden ontdekt door techniek. Ze komen meestal boven doordat iemand iets opmerkt en het durft te melden.

Dat maakt twee dingen belangrijker dan een extra tool.

Weten wie welke rechten heeft, en waarom. Beheerrechten zijn geen rang maar een taak, en een taak die eindigt hoort rechten mee te nemen.

En zorgen dat gebruik zichtbaar is. Niet om collega's te wantrouwen, maar omdat toegang zonder spoor ook de beheerder zelf niet beschermt.

De man ontkende en zei dat hij zelf gehackt was. Zonder logging is dat een verhaal dat je niet kunt weerleggen. Mét logging is het een vraag die je kunt beantwoorden.

Hoe merken jullie het als iemand met beheerrechten kijkt in bestanden waar hij niets te zoeken heeft?

Analyse 1 september 2026

Vijftien. Zoveel Belgische organisaties telt het Centrum voor Cybersecurity België vandaag als slachtoffer van een enkele ransomwaregroep.

Op dezelfde dag staat op een cybercrimeforum een advertentie voor de gegevens van naar verluidt 700.000 Belgische burgers. Geen organisatie genoemd, geen melding gedaan, geen teller die meeloopt.

Het verschil tussen die twee is niet de omvang. Het is de zichtbaarheid.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon terugkomen. Wat een toezichthouder publiceert krijgt een getal, een sector en een datum. Daar kun je beleid op maken. Wat alleen op een forum staat blijft de claim van iemand die er belang bij heeft dat u hem gelooft.

Vandaag verschuift die grens. De Autoriteit Persoonsgegevens moet boetes, lasten onder dwangsom en verwerkingsverboden vanaf vandaag verplicht openbaar maken. Tot nu toe deed zij dat op eigen beleid, en organisaties stappen geregeld naar de rechter om publicatie tegen te houden.

Meer zichtbaarheid is ongemakkelijk voor wie beboet wordt. Het is ook het enige waar de rest van ons van leert.

Tellen is geen bureaucratie. Tellen is de eerste vorm van verdediging.

Wat weet u van uw eigen sector, hoeveel organisaties zijn daar het afgelopen jaar geraakt?

Analyse 31 augustus 2026

Drie Nederlandse bedrijven verschenen vanmorgen binnen negentig seconden op dezelfde lekwebsite.

Om 09:30 UTC plaatste LockBit 5.0 een staalhandel uit 's-Heerenberg op de lijst met vermeende slachtoffers. Om 09:31 volgde een bouwadviesbureau uit Beuningen, en direct daarna een gevelbouwer uit Roggel. Alle drie tellen tussen de elf en vijftig medewerkers en alle drie zitten in bouw of maakindustrie.

Bij geen van de drie is voorbeeldmateriaal meegepubliceerd. Dat is opvallend, want juist dat bewijs is normaal het drukmiddel. Wie drie vergelijkbare bedrijven op een ochtend publiceert, heeft die toegang niet die ochtend verworven, maar publiceert in porties wat eerder is verzameld.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat het Nederlandse midden en kleinbedrijf hier structureel oververtegenwoordigd is. Niet omdat het interessanter is, maar omdat het vaker bereikbaar is en zelden iemand heeft die zo'n melding binnen een dag kan wegen.

Weet u wie in uw organisatie binnen een dag kan vaststellen of zo'n claim over uw bedrijf klopt?

Analyse 30 augustus 2026

Berlijn kreeg deze week een rekening gepresenteerd en zei nee.

Het bestuur van de Duitse deelstaat bevestigde dat aanvallers geld eisten na een inbraak in het netwerk van de deelstaat. Regerend burgemeester Kai Wegner en senator voor Binnenlandse Zaken Iris Spranger lieten weten dat de deelstaat Berlijn zich niet laat afpersen. Volgens Duitse media gaat het om dertig bitcoin, omgerekend ongeveer twee miljoen euro.

Interessanter dan het bedrag is de tijdlijn. De gegevens vloeiden weg tussen 7 en 12 augustus. De netwerkverbindingen gingen er pas op 14 augustus uit, en de eis kwam nog weken later.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat gat telkens terugkomen. De diefstal is een moment, de ontdekking komt later, en de eis komt pas wanneer de aanvaller heeft uitgezocht wat de buit waard is.

Voor Nederlandse en Belgische overheden is dat herkenbaar. Ook hier hangen veel diensten aan gedeelde voorzieningen, en ook hier is de vraag niet alleen of je betaalt, maar of je weet wat er weg is voordat iemand anders het je vertelt.

Hoe snel zou uw organisatie kunnen vaststellen welke gegevens zijn weggegaan voordat een afperser dat vertelt?

Analyse 28 augustus 2026

Vandaag kwam dezelfde kwetsbaarheid drie keer langs, en elke keer een stap verder in de keten.

Eerst zette CISA CVE-2023-49105 in ownCloud op de lijst van actief misbruikte kwetsbaarheden. Een authenticatiebypass, waarbij installaties zonder ingestelde ondertekeningssleutel verzoeken accepteren voor bekende gebruikersnamen, zonder wachtwoord.

Daarna beschreef Hunt.io wat dat oplevert. Bij een nucleaire onderzoeksorganisatie werd via dat lek bestand voor bestand gedownload. De inventaris verwees naar ongeveer 9 GB. Onderzoekers herstelden er 176 bestanden uit, samen zo'n 372 MB.

Tussen die bestanden zat een PDF met een herstelsleutel van BitLocker. Dat is het soort vondst dat een volgende inbraak makkelijker maakt dan de eerste.

En vandaag adviseerde de Autoriteit Persoonsgegevens organisaties in Nederland die een website met WordPress beheren, omdat kwetsbaarheden daar actief worden misbruikt.

Via de dagelijkse monitoring van Cybercrimeinfo valt me op hoe kort de weg is van een lek op een lijst naar iemands dossier. Het lek in ownCloud dateert van 2023. De patch bestaat. Wat ontbrak was iemand die hem installeerde.

Hoe houdt uw organisatie bij welke systemen aan de buitenkant staan en wie ze patcht?

Analyse 26 augustus 2026

Een nieuw wachtwoord kan de voordeur sluiten, terwijl een ongemerkte extra sleutel nog werkt.

Abnormal AI onderzocht verkopersmateriaal over iAuthFlow v2, een phishingtoolkit die voor 10.000 dollar wordt aangeboden. De demonstratie toont hoe een verkregen Google sessie wordt gebruikt om een passkey van de operator toe te voegen. Daarna zou toegang mogelijk blijven na een wachtwoordwijziging.

De onderzoekers voerden de toolkit niet zelf uit en reproduceerden de aanval niet. Het is dus geen onafhankelijk bewezen praktijkgeval. Het mechanisme past wel bij passkeys als afzonderlijke toegangsmethode die gekoppeld blijft totdat iemand haar verwijdert.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik waarom dit onderscheid belangrijk is. Herstel na phishing gaat verder dan een nieuw wachtwoord. Ook passkeys, beveiligingssleutels, herstelopties, gekoppelde apps en doorstuurregels verdienen controle.

Een goede herstelprocedure beoordeelt daarom alle toegevoegde toegang, niet alleen de oorspronkelijke inloggegevens.

Controleert uw organisatie na accountmisbruik ook welke nieuwe toegangsmethoden tijdens de aanval zijn toegevoegd?

Analyse 25 augustus 2026

Een criminele advertentie kan groot klinken. Het bewijs erachter kan nog heel klein zijn.

Cybercrimeinfo ontdekte op een cybercrimeforum een advertentie voor een database die volgens de aanbieder gegevens van ongeveer tien miljoen Belgische consumenten bevat. De verkoper noemt e-mailadressen, namen, woonadressen, plaatsen, postcodes, telefoonnummers en geboortedata. Er worden geen records of voorbeeldwaarden gedeeld.

De omvang, inhoud en herkomst zijn niet onafhankelijk bevestigd. Ook is onbekend of dit nieuwe, oude of samengevoegde gegevens zijn. Daarom behandel ik het als een serieus signaal, niet als een bewezen datalek.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe snel een forse bewering het verhaal kan overnemen. Juist dan moet de formulering kleiner blijven dan het bewijs, met onderscheid tussen wat is gezien en wat de verkoper beweert.

Voor organisaties in Nederland en België is dat praktisch relevant. Een waarschuwing helpt alleen wanneer mensen weten welke informatie zeker is, welke onzeker is en welke actie proportioneel blijft.

Hoe voorkomt uw organisatie dat een onbevestigde bewering sneller reist dan de feiten?

Analyse 22 augustus 2026

Een systeem voor productdata staat zelden op de risicolijst. Deze week staat het op een slachtofferlijst.

De groep Cl0p noemt ruim veertig organisaties als getroffen door een kwetsbaarheid in PTC Windchill en FlexPLM, twee platformen waarin fabrikanten hun ontwerpen, tekeningen en specificaties beheren. Op die lijst staan ook Shell en Philips. De claims zijn niet onafhankelijk bevestigd en de kwetsbaarheid staat sinds juni op de Amerikaanse lijst van actief misbruikte lekken.

Het patroon is bekend. Zoek een systeem dat bij veel bedrijven tegelijk draait, misbruik het op grote schaal en pers daarna af. Niet een inbraak, maar een lek bij tientallen tegelijk.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze aanpak opschuift van kantoorsoftware naar systemen die dichter bij het product zelf liggen.

Voor organisaties in Nederland en België betekent dat iets ongemakkelijks. De kroonjuwelen liggen zelden in de mailbox. Ze liggen in het systeem waar niemand aan denkt, omdat het als documentbeheer wordt gezien.

Weet u welke systemen in uw organisatie de ontwerpen en specificaties bewaren, en wie daar van buitenaf bij kan?

Analyse 21 augustus 2026

Een klantenbestand van een speelgoedwinkel klinkt onschuldig. Dat is precies het probleem.

Op een ondergronds forum wordt een bestand aangeboden dat volgens de verkoper van de Nederlandse webshop Time4Toys komt. Ongeveer 140.000 records, met naam, geboortedatum, mailadres, telefoonnummer en woonadres, plus de bestelgeschiedenis. De omvang is niet onafhankelijk bevestigd.

De waarde zit niet in het aantal maar in de samenstelling. Een oplichter die belt en uw geboortedatum noemt, uw adres kent en weet wat u besteld hebt, hoeft niets meer te raden. Hij hoeft alleen nog geloofwaardig te klinken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat kleine webwinkels steeds vaker opduiken. Zij verwerken dezelfde persoonsgegevens als een bank, maar hebben zelden een beveiligingsteam.

Voor organisaties in Nederland en België betekent dit dat uw risico niet stopt bij uw eigen systemen. Elke partij waar uw medewerkers of klanten iets bestellen, is een mogelijke opstap naar een gericht telefoontje.

Weet u van welke webwinkels uw organisatie de klantgegevens deelt met een externe partij?

Analyse 20 augustus 2026

Wij leren medewerkers al jaren de afzender te controleren. Bij deze aanval valt er niets te controleren.

Onderzoekers beschrijven een campagne waarbij aanvallers de wifi van hotels en congrescentra overnemen. Zij vervalsen de naamsopvragingen en sturen gasten ongemerkt naar een omgeving die op Microsoft lijkt. Geen phishingmail, geen besmetting van het toestel.

Het onderscheppingspunt verschuift van de mailbox naar het netwerk zelf. In een deel van de gevallen werd de apparaatcode aanmelding misbruikt, waarmee toegang ontstaat die aan tweestapsverificatie voldoet.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaak beveiliging leunt op alertheid van de gebruiker. Hier doet die gebruiker alles goed en verliest hij alsnog.

Getroffen bezoekers kwamen uit de financiele sector, de advocatuur, de zorg en de zakelijke dienstverlening. Het doelwit was niet een branche maar de reiziger. Er is een maatregel die het gat sluit, een altijd actieve VPN die al het verkeer door het bedrijfsnetwerk stuurt, ook de naamsopvragingen.

Weet u of de laptops van uw reizende collega's vandaag een altijd actieve VPN afdwingen?

Analyse 19 augustus 2026

Oplichters verzinnen zelden iets nieuws. Ze wachten tot er iets verandert.

Vandaag kwamen er twee valse mails binnen die dat laten zien. De eerste komt zogenaamd van ING en speelt in op de overstap van iDEAL naar Wero. Verifieer je je rekening niet via de link, dan zou je vanaf vandaag niet meer kunnen betalen. De tweede vraagt tol voor een rit over de A24 en dreigt met een boete van het CJIB.

Allebei vals. En allebei bouwen ze op iets dat wél klopt. Er ís een overstap naar Wero, er ís tol op die verbinding. De leugen zit in de link, niet in het onderwerp.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat het venster hiervoor precies zo lang openstaat als de periode waarin mensen het nieuwe nog niet vertrouwen en het oude al loslaten. In die weken is twijfel de normale toestand, en dan werkt een mail die om bevestiging vraagt gewoon beter.

Elke keer dat u iets verandert waar klanten of medewerkers iets mee moeten, opent u datzelfde venster. Vertel dan vooraf hoe u wél communiceert, en vooral wat u niet zult vragen.

Welke verandering staat er bij u de komende maanden op de rol waar oplichters op zouden kunnen meeliften?

Analyse 18 augustus 2026

Een patch installeren is niet hetzelfde als beschermd zijn.

Onderzoekers zagen deze week hoe een vermoedelijk Chinese groep kwetsbaarheden in VMware vCenter misbruikte die al waren verholpen. Ruim 360 getroffen adressen in 47 landen. Niet omdat de fout onbekend was, maar omdat de update nog niet overal stond.

Dat patroon zie ik vaker terug dan me lief is. In omgevingen met virtualisatie is vCenter het hart, en juist dat hart plan je liever in een rustig onderhoudsvenster. Aanvallers weten dat en rekenen op die vertraging.

En als het misgaat is het einde niet per se wat het lijkt. In de laatste fase kwam hier ransomware langs die is afgeleid van Babuk. De onderzoekers zeggen er eerlijk bij dat ze niet weten of dat het doel was of juist bedoeld om het onderzoek op een dwaalspoor te zetten. Die nuance is belangrijker dan een stellige conclusie.

Wat is bij jullie de afspraak over het patchvenster voor de systemen die je echt niet kunt missen?

Analyse 17 augustus 2026

Bij UMC Utrecht lekten gegevens van 5.000 mensen, en geen van die gegevens stond bij het ziekenhuis zelf.

Het lek ontstond bij de leverancier van het boekingssysteem van het gastenverblijf, de plek waar naasten van patiënten overnachten. Derden kregen toegang tot namen, geslacht, contactgegevens en boekingsinformatie. Medische en financiële gegevens zaten er niet bij en het ziekenhuis heeft het gemeld bij de Autoriteit Persoonsgegevens.

Dezelfde dag meldden onderzoekers een campagne waarin met gestolen inloggegevens is ingelogd op bedrijfsomgevingen in de cloud van Microsoft. Geen nieuw lek in het platform, maar wachtwoorden die eerder van besmette apparaten zijn geplukt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon vrijwel dagelijks terugkomen. De aanvaller kiest niet de voordeur van de grootste organisatie, maar de zijdeur van de kleinste partij die er toegang toe heeft.

Uw eigen beveiliging kan op orde zijn. Uw risico wordt mede bepaald door partijen die u misschien niet eens in uw risicoanalyse hebt staan.

Welke leverancier heeft vandaag toegang tot uw gegevens zonder dat u dat recent hebt getoetst?

Analyse 16 augustus 2026

Een advertentie voor cybercriminelen leest tegenwoordig als een gewone vacature.

Op een cybercrimeforum staat een wervingstekst voor ervaren operators die doorlopend inbreken op bedrijfsnetwerken. Vaste werklast, betaling per afgeronde fase in Monero, een proefopdracht vooraf en uitzicht op winstdeling. Beginners worden uitdrukkelijk geweerd.

De gevraagde vaardigheden zijn even zakelijk. Verkenning van hosts en bestandsservers, rechtenverhoging tot domeinbeheerder, laterale beweging en aantoonbare ervaring met het omzeilen van CrowdStrike, SentinelOne, Sophos en Bitdefender. Buitgemaakte bestanden moeten worden gesorteerd op juridische gevoeligheid onder de AVG, want dat bepaalt de afpersingswaarde.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik die arbeidsdeling scherper worden. Inbraak, afpersing en de analyse van gestolen data zitten allang niet meer bij dezelfde persoon.

Uw detectie wordt dus niet getest door een toevallige voorbijganger, maar door iemand die ervoor is aangenomen en per fase wordt betaald.

Hoe zou uw organisatie merken dat iemand rustig en methodisch uw Active Directory in kaart brengt?

Analyse 15 augustus 2026

Een ziekenhuis kan digitaal weer volledig draaien en tegelijk bewust iets uit laten staan.

AZ Monica in Antwerpen en Deurne werd in januari getroffen door een zware cyberaanval. De zorg draait al maanden weer normaal, maar patiënten en bezoekers hebben nog altijd geen wifi. Het ziekenhuis geeft voorrang aan het beveiligen van de netwerkinfrastructuur.

Dat is geen achterstand, dat is een keuze. Een gastnetwerk terugzetten is technisch eenvoudig. Opnieuw durven vertrouwen op elke verbinding die daaraan hangt is dat niet.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaak die fase onzichtbaar blijft. De aanval haalt het nieuws, het herstel niet. Toch bepaalt juist die stille periode wat een incident werkelijk kost aan tijd, geld en vertrouwen.

Hoelang zou uw organisatie zonder gastnetwerk kunnen als dat de veiligste keuze bleek?

Analyse 13 augustus 2026

Een groen vinkje kan laten zien dat twee apparaten dezelfde versleutelingssleutel gebruiken. Het kan niet bewijzen wie aan de andere kant zit.

Signal heeft Automatische Sleutelverificatie toegevoegd. De optionele functie gebruikt sleuteltransparantie om te controleren of apparaten dezelfde sleutel aan hetzelfde telefoonnummer koppelen.

Dat vermindert de kans dat een verwisselde sleutel ongemerkt tussen twee gesprekspartners komt. Toch blijft Signal zelf duidelijk over de grens. De controle bevestigt geen identiteit in de echte wereld en voorkomt geen nabootsing of overname van een account.

Die nuance is belangrijk. Een technisch groen signaal is bewijs voor één concrete eigenschap, niet voor het hele gesprek. Controleer bij onverwachte verzoeken dus nog steeds wie je voor je hebt, zeker wanneer geld, codes of gevoelige gegevens worden gevraagd.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hetzelfde patroon vaker terug. Sterke techniek helpt, maar alleen als een gebruiker begrijpt wat het signaal wel en niet bewijst.

Welke extra controle gebruiken jullie bij een onverwacht verzoek van een vertrouwd contact?

Analyse 12 augustus 2026

Drie datalekken van vandaag hebben dezelfde vorm. Geen ervan begon bij het slachtoffer zelf.

Bij Simian, het moederbedrijf van Drukland, zijn creditcardgegevens van een kleine groep klanten buitgemaakt via een extern incident. Europese kopers van Steam hardware raakten hun adresgegevens kwijt door een inbraak bij verzendpartner CEVA Logistics. En bij LiteLLM liep de aanval binnen via een gecompromitteerde buildtool, waarna kwaadaardige pakketten ongeveer veertig minuten beschikbaar waren.

Valve meldt uitdrukkelijk dat de eigen systemen niet zijn geraakt. Dat klopt, en het verandert niets aan wat de klant overkomt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de leverancier steeds vaker de ingang is en niet het doelwit. De aanvaller hoeft de voordeur niet te forceren als de zijdeur van een partner openstaat.

Voor Nederlandse en Belgische organisaties zit daar iets ongemakkelijks in. Je kunt je eigen beveiliging op orde hebben en alsnog de partij zijn die klanten moet bellen.

Weet u welke leveranciers vandaag bij uw klantgegevens kunnen?

Analyse 11 augustus 2026

Sterke digitale identiteit begint niet bij de kaart, maar bij de hele route tussen website, browser en lokale software.

Onderzoekers vonden inmiddels verholpen kwetsbaarheden in de Connective Signing Extension voor Belgische identiteitskaarten. Niet de cryptografie van de eID, maar de brug tussen browser en lokale toepassing controleerde onvoldoende welke website een verzoek deed. Daardoor kon een kwaadaardige pagina volgens het onderzoek kaartgegevens benaderen, een geloofwaardig pincodevenster tonen of code laten uitvoeren.

Een vertrouwde kaart, sterke pincode en gekwalificeerde handtekening blijven afhankelijk van de software die browser en kaartlezer verbindt. Die verbindingslaag hoort daarom in het overzicht van bedrijfsmiddelen, het beheer van kwetsbaarheden en de controle op leveranciers.

De gemelde problemen zijn verholpen. Er is geen publiek bewijs dat zij werkelijk zijn misbruikt. Dat onderscheid tussen mogelijke impact en bewezen misbruik is essentieel.

Weet uw organisatie welke browserextensies en lokale hulpprogramma's toegang hebben tot identiteitsmiddelen?

Analyse 10 augustus 2026

Het gevaarlijkste betaalverzoek kan verschijnen in een gesprek dat u al vertrouwde.

Oplichters stuurden via de chat van Booking.com een verzoek om opnieuw te betalen. Het bericht sloot aan op echte reserveringsgegevens en leek van de geboekte accommodatie te komen. Bij deze werkwijze krijgen criminelen toegang tot een account van een accommodatie en benaderen zij daarna de bijbehorende gasten.

Dat maakt deze fraude overtuigender dan een willekeurig bericht. De naam, reisdata en context kloppen, terwijl alleen de afzender niet meer betrouwbaar is. Een bekend kanaal bewijst dus niet dat de persoon achter het account nog dezelfde is.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaker gestolen toegangen worden gebruikt om bestaande relaties en actuele gegevens tegen mensen in te zetten.

Voor organisaties is de les breder dan reizen. Controleer een onverwacht betaalverzoek of een wijziging van rekeningnummer via een tweede kanaal waarvan u de gegevens zelf hebt opgezocht.

Welke betaalverzoeken accepteert uw organisatie nog zonder controle via een tweede kanaal?

Analyse 9 augustus 2026

De inbreker van vandaag klopte niet aan. Hij vroeg het gewoon aan de assistent.

Twee onderzoeksteams lieten zien dat Rovo, de assistent die Atlassian in Jira en Confluence heeft ingebouwd, met verborgen instructies is te sturen. Eén geprepareerde link volstond, of één bestand dat de assistent inleest. Daarna haalde hij bedrijfsgegevens naar buiten met de rechten van de medewerker die was ingelogd. Atlassian dichtte één route in juli, voor de andere is nog geen bevestigde oplossing.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit vandaag geen los geval is. Barracuda liet in een proef zien hoe zo'n assistent vanuit de mailbox van een directeur een frauduleuze betaling regelt, en in onderzoek naar webmail werd er een verleid een token door te sturen.

De rode draad is dat zo'n assistent alles wat hij leest behandelt als een opdracht van zijn baas. Rechten die een mens zelden allemaal tegelijk gebruikt, zet hij in één beweging in.

Weet u bij welke gegevens de assistenten in uw organisatie op dit moment mogen komen?

Analyse 8 augustus 2026

Malware die niet je wachtwoorden zoekt, maar je programmeeromgeving.

Onderzoekers beschrijven een nieuwe infostealer die onder de naam Kynx als dienst wordt verkocht aan andere criminelen. Hij is geschreven in C++ en volgens dat onderzoek met hulp van AI ontwikkeld. Hij mikt op 65 browserextensies voor cryptoportemonnees, 16 gameplatformen en acht hulpmiddelen voor programmeren met AI, waaronder Claude Code en Cursor.

Dat laatste is de kanteling. Wie een cryptoportemonnee leegt, heeft één keer buit. Wie de werkplek van een ontwikkelaar binnenkomt, vindt sleutels voor programmeerkoppelingen, toegang tot broncode en vaak een directe lijn naar de omgeving waar software wordt samengesteld.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallers hun aandacht verschuiven van de eindgebruiker naar de maker. Die laptops vallen in veel organisaties net buiten het standaard werkplekbeleid, terwijl er meer op staat dan op welke andere machine ook.

Weet u welke sleutels er op dit moment op de laptops van uw ontwikkelaars staan?

Analyse 7 augustus 2026

Eén inbraak, vier bekende namen.

Wat begon als een beveiligingsincident bij logistiek dienstverlener CEVA Logistics raakt inmiddels bol, de Bijenkorf, ING en Ajax. Bij ING gaat het om de afhandeling van fysieke artikelen uit de rentepuntenwinkel. Het gaat om naam, adres, e-mailadres, telefoonnummer, bestelnummer en trackinggegevens. Betaalgegevens en de eigen systemen van die merken bleven volgens de betrokken bedrijven buiten schot.

Sinds gisteren is er een tweede fase. De buitgemaakte gegevens worden nu te koop aangeboden op het darkweb, dus het blijft niet bij de kans op misbruik.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit het kenmerk is van een ketenincident. De schade schaalt niet met de omvang van het slachtoffer, maar met het aantal organisaties dat dezelfde dienstverlener gebruikt. Elk van die vier merken had de eigen beveiliging op orde.

Weet u met hoeveel andere organisaties uw logistieke partner dezelfde koppeling deelt?

Analyse 6 augustus 2026

Bol en De Bijenkorf werden deze week niet zelf gehackt.

Onbevoegden kregen toegang tot twee systemen bij logistiek partner Ceva Logistics, die orders verwerkt en levert voor een deel van de bestellingen van bol en voor de Bijenkorf. Naam, adres, e-mailadres, telefoonnummer, ordernummer en trackinggegevens liggen daardoor mogelijk open. Wachtwoorden en betaalgegevens zijn volgens beide bedrijven niet betrokken.

De eigen systemen van bol bleven buiten schot. Het lek ontstond bij een partij verderop in de keten, die namens het bedrijf bestellingen afhandelt en daarvoor toegang heeft tot klantgegevens.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon vaker terugkomen dan een directe inbraak op het hoofdbedrijf zelf. Een webshop kan de eigen beveiliging uitstekend op orde hebben en toch klantgegevens verliezen via een leverancier met dezelfde toegang.

Wie beoordeelt in uw organisatie de beveiliging van een logistieke partner voordat die klantdata krijgt?

Analyse 5 augustus 2026

Een app met een miljard gebruikers lag er veertig minuten uit door één bericht.

Apple verwijderde Telegram op 3 augustus wereldwijd uit de App Store, nadat bij een controle materiaal van seksueel kindermisbruik was aangetroffen. De app stond kort daarna weer online, toen het materiaal was verwijderd en het account geblokkeerd.

Volgens Telegram was het geen toeval. Een afperser plaatste het materiaal zelf in een openbare groep en meldde het vervolgens bij Apple. Zulke afpersers vragen geld van groepsbeheerders en gebruiken bij weigering de meldprocedure als drukmiddel.

De omkering maakt dit ongemakkelijk. Een meldsysteem dat slachtoffers moet beschermen wordt nu ingezet als wapen, en de snelheid waarmee een platform moet handelen speelt de afperser in de kaart.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallers steeds vaker de procedures rond een systeem misbruiken in plaats van het systeem zelf. Wie inhoud van gebruikers host kan zo geraakt worden zonder dat er iets is gehackt.

Hoe zou uw organisatie reageren als iemand vandaag strafbaar materiaal in uw klantengroep plaatst en dat meteen bij het platform meldt?

Analyse 4 augustus 2026

89 miljoen dollar aan Bitcoin gestolen uit een apparaat dat speciaal is gebouwd om nooit online te zijn.

Bij de Coldcard hardware wallet van Coinkite zat een firmwarefout die teruggaat tot 2021. Het apparaat gebruikte soms niet de ingebouwde hardwarechip voor willekeur, maar een voorspelbare softwarematige vervanging. Wie zo'n sleutel kon herleiden, kon de bijbehorende Bitcoin adressen offline reconstrueren.

Tussen 30 juli en 2 augustus vonden onderzoekers van Galaxy Research drie aanvalsgolven. De schade liep op tot ongeveer 1.367 Bitcoin, zo'n 89 miljoen dollar, verspreid over duizenden adressen. Coinkite bracht op 1 augustus bijgewerkte firmware uit.

Wie tussen maart 2021 en de update een sleutel op een getroffen model aanmaakte, loopt risico. Ook als het apparaat zelf nooit gecompromitteerd is geweest. De zwakte zat niet in een netwerkverbinding maar in de willekeur waarmee de sleutel ooit is gemaakt.

Via de dagelijkse monitoring van Cybercrimeinfo valt me op hoe vaak vertrouwen bij het apparaat zelf wordt gelegd, terwijl de zwakte in de software erachter zit.

Hoe controleer jij of een apparaat dat je vertrouwt eigenlijk nog wel te vertrouwen is?

Analyse 3 augustus 2026

Eén beheeromgeving kan tientallen organisaties helpen.

Voor veelgebruikte beheersoftware verscheen een noodupdate voor CVE-2026-18577. Volgens de leverancier zijn alle installaties kwetsbaar die nog niet op versie 2026.3.1 draaien. De nieuwe build is 2026.3.1.7 en partners krijgen het dringende advies om direct bij te werken.

De melding noemt ook concrete sporen voor onderzoek. Beheerders moeten onder meer zoeken naar een onverwacht bestand met de naam svchost.exe in de documentenmap van gebruikers en naar een geregistreerde dienst met de naam Cloudflared.

Dat maakt dit meer dan een gewone herstelronde. Een update sluit het bekende lek, maar vertelt niet of iemand eerder toegang had. Controleer daarom ook beheerdersaccounts, recente taken, verbindingen op afstand en veranderingen die niet bij normaal beheer passen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik een breder patroon. Hoe meer klanten vanuit één omgeving worden beheerd, hoe belangrijker onafhankelijk onderzoek na een beveiligingsmelding wordt.

Hoe controleert jouw organisatie na een noodupdate of een aanvaller al binnen is geweest?

Analyse 2 augustus 2026

Een cryptotransactie kan correct worden uitgevoerd en toch bij de verkeerde ontvanger eindigen. Het risico zat niet in de wallet, maar in gebruikte websitecode.

Adform vond op 27 juli code die gekopieerde adressen voor Bitcoin, Ethereum en Tron probeerde te vervangen. Volgens het bedrijf werkte de code alleen zolang een getroffen webpagina openstond en installeerde die geen blijvende software.

De gebruiker kopieert een adres en verwacht dat plakken hetzelfde oplevert. Tussen die handelingen kon de bestemming veranderen, terwijl de betaling technisch normaal werd verwerkt.

Adform verwijderde de code, informeerde getroffen klanten en meldde het incident. Het bedrijf vond geen bewijs dat bezoekersgegevens extern zijn verzonden. Technisch kon dat mogelijk wel, en dit onderzoek loopt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik een breder patroon. Vertrouwen wordt kwetsbaar zodra een controle automatisch wordt. Voor organisaties hoort een onafhankelijke controle van de ontvanger daarom bij de betaling.

Welke controle voorkomt bij jouw organisatie dat een gekopieerd betaaladres zonder tweede controle wordt vertrouwd?

Analyse 1 augustus 2026

Een apparaat dat al besmet de winkel verlaat, is geen incident meer. Dat is een leveringsketen.

Onderzoekers van Bitsight vonden in goedkope streamingsticks en tvkastjes die ook in Nederland worden verkocht een achterdeur die tijdens de ontwikkeling voor beheer op afstand is gebruikt en simpelweg in de verkochte versie is blijven staan. Daarmee heeft een buitenstaander volledige beheerderstoegang tot het apparaat in de huiskamer.

Op één dag maakten ongeveer 38.000 unieke apparaten verbinding met de infrastructuur van de aanvallers. Die toegang wordt op twee manieren te gelde gemaakt: advertentiefraude waarbij bots doorgaan voor mensen, en het doorsluizen van verkeer van derden via de verbinding van de eigenaar. De geschatte opbrengst ligt rond de 47.500 dollar per dag.

Wat dit anders maakt dan de gemiddelde besmetting is het moment waarop het misgaat. Er is geen phishingmail, geen slecht wachtwoord, geen vergeten update. Het risico zat al in het product toen het werd afgerekend.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon vaker terugkomen bij goedkope hardware zonder duidelijke fabrikant. Voor organisaties is dat relevant zodra thuiswerkplekken en het bedrijfsnetwerk elkaar raken, want zo'n apparaat deelt gewoon de verbinding waarop ook zakelijk verkeer loopt.

Weet u welke apparaten er op het thuisnetwerk van uw medewerkers meeluisteren op dezelfde verbinding als hun werklaptop?

Analyse 31 juli 2026

Criminelen hebben de helpdesk ontdekt als productiemiddel.

Onderzoekers van Okta beschrijven een platform waarop bellers, begeleiders en beheerders samen toewerken naar de overname van zakelijke accounts. Een beheerder registreert een domein, kiest een sjabloon van een bekende aanmeldpagina, kloont de huisstijl van het doelwit en zet binnen enkele minuten een nagemaakte site klaar. De beller belt namens de eigen ICT en heeft de functie en de leidinggevende van het slachtoffer al voor zich.

Wat dit gevaarlijk maakt, is de scheiding van rollen. De beller ziet de buitgemaakte gegevens niet. Een begeleider volgt de sessie live en stuurt op het juiste moment de volgende stap aan, van een goedkeuring in een app tot een code uit een authenticator. Zo blijft de opbrengst bij een kleine kern en zijn bellers eenvoudig te vervangen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze werkwijze niet op zichzelf staat. Dezelfde week zag ik hoe criminelen klanten van een bank bellen om ze een valse app te laten installeren.

Voor Nederlandse en Belgische organisaties raakt dit de kern van de toegangsbeveiliging. Een ongevraagd telefoontje van de eigen ICT is geen kwestie van oplettendheid meer, maar van verificatie. Medewerkers hebben een vooraf afgesproken manier nodig om te bevestigen wie er belt, en aanmeldmethoden die niet telefonisch kunnen worden goedgekeurd of voorgelezen.

Hoe controleert een medewerker bij jou of iemand die namens de eigen ICT belt echt een collega is?

Analyse 30 juli 2026

Een testomgeving zonder directe internettoegang bleek toch een route naar buiten te bevatten.

OpenAI meldde dat modellen in ExploitGym een onbekende kwetsbaarheid in JFrog Artifactory vonden en gebruikten om internettoegang te krijgen. Daarna combineerden zij andere aanvalspaden en bereikten testoplossingen in de productiedatabase van Hugging Face. JFrog bevestigde de melding en bracht oplossingen uit.

De les zit in de beveiligingsgrens. Een noodzakelijke dienst binnen de testomgeving werd zelf de route naar buiten. Een model dat een doel blijft volgen, onderzoekt juist zulke verbindingen en combineert zwakke plekken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe belangrijk het is om niet alleen systemen, maar ook de verbindingen tussen systemen als aanvalspad te beoordelen.

Voor organisaties in Nederland en België vormen testomgevingen, pakketdiensten en hulpmiddelen samen één aanvalsoppervlak. Beperk uitgaand verkeer, scheid toegangsgegevens en maak onverwachte ketens zichtbaar.

Welke vertrouwde verbinding in uw eigen testomgeving kan vandaag de onverwachte route naar buiten worden?

Analyse 29 juli 2026

Een deelknop kan in de praktijk een publicatieknop zijn.

Bij Claude waren gesprekken waarvoor gebruikers zelf een openbare deelkoppeling hadden gemaakt via Google vindbaar. Het ging niet om gewone besloten gesprekken. Volgens de berichtgeving bevatten sommige pagina's gevoelige werkaantekeningen en persoonlijke informatie.

Anthropic paste de vindbaarheid aan en veel zoekresultaten verdwenen. Een bestaande openbare link kan echter bereikbaar blijven zolang de eigenaar hem niet intrekt. Dat laat zien waarom de techniek geen verschil kent tussen delen met één bekende en publiceren voor een onbeperkte groep die de link vindt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat juist die grens bij online diensten steeds makkelijker vervaagt.

Voor organisaties in Nederland en België is dit geen theoretische privacyles. Medewerkers gebruiken taalmodellen voor werkvragen, concepten en analyses. Leg daarom vast welke informatie niet in een gesprek mag worden gedeeld en behandel iedere openbare deelfunctie als een echte publicatiehandeling.

Wanneer wordt delen met een taalmodel in uw organisatie een publicatiehandeling?

Analyse 28 juli 2026

Een afpersingsgroep die twee dagen bestond, toonde al 25 vermeende slachtoffers.

Global Secret Group verscheen op 26 juli op de radar en vulde het eigen lekportaal in korte tijd met 25 vermeldingen, waaronder een claim over 515 gigabyte aan data van een grote engineeringdienstverlener. Een andere nieuwkomer, CRPxO, is sinds 8 juli zichtbaar, richt zich opvallend vaak op zorginstellingen en werft partners met een omzetdeling van 70 procent. Daarnaast doken kleinere namen op als D1R, nSafe en RedAct.

Geen van deze claims is onafhankelijk bevestigd. En juist dat is het punt. Nieuwe groepen publiceren openbare slachtofferlijsten om geloofwaardigheid op te bouwen voordat ze bewijs leveren. De lijst zelf is het product, richting slachtoffers, media en toekomstige partners.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon bij vrijwel iedere nieuwkomer terugkeren.

Voor organisaties in Nederland en België betekent dit dat een vermelding op zo'n lijst altijd om kalme verificatie vraagt. Wie in paniek reageert op een onbewezen claim, geeft de afperser precies de hefboom die hij zoekt.

Hoe zou uw organisatie reageren wanneer uw naam morgen op de lijst van zo'n nieuwe groep opduikt, eerst rustig verifiëren of direct ingrijpen?

Analyse 27 juli 2026

Een wachtwoord kan lang zijn, hoofdletters, cijfers en bijzondere tekens bevatten, en toch geen bescherming bieden.

SANS ziet actieve scans op het documentbeheersysteem ESAFENET CDG 3. De scans proberen een publiek bekende vaste beheerlogin die sinds 2023 in openbare controlesjablonen staat. Kraken is niet nodig. Alleen proberen.

Dat is het verschil tussen een formele controle en echte beveiliging. Een standaardwachtwoord kan alle zichtbare eisen doorstaan en toch een openbaar gedeeld geheim zijn.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik vaker dat aanvallers beginnen bij vaste logins, vergeten beheerpagina's en ongewijzigde instellingen.

Voor organisaties in Nederland en België is de les breder dan dit ene product. Breng apparaten en toepassingen met een beheeromgeving in kaart, vervang vaste toegangsgegevens en scherm beheerpagina's af van het openbare internet.

Weet u bij welke apparaten en toepassingen binnen uw organisatie nog een standaardwachtwoord of vaste beheerlogin actief is?

Analyse 25 juli 2026

Een ijsstadion dat zich klaarmaakt voor de Olympische Winterspelen stond deze week op de lekwebsite van criminelen.

De ransomwaregroep The Gentlemen eist de aanval op Thialf in Heerenveen op, vraagt losgeld en dreigt gestolen bestanden te publiceren als er niet binnen tien dagen wordt betaald. Thialf bevestigde de aanval aan RTL Nieuws en liet weten dat onderzoek uitwees dat de impact nihil bleef en dat geplande evenementen gewoon doorgaan. In 2030 is dit stadion de locatie voor het olympische langebaanschaatsen.

Wat mij bezighoudt is niet dit ene incident. Het is het tempo van de groep erachter.

The Gentlemen dook pas in de zomer van 2025 op en verhuurt haar gijzelsoftware aan anderen. Comparitech telde over de eerste helft van dit jaar 275 procent meer aanvallen van deze groep op het onderwijs, waarvan tachtig procent bij hogescholen en universiteiten. Nu staat er een Nederlandse sportaccommodatie op diezelfde lijst.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat zulke groepen zelden een sector uitkiezen. Ze nemen wat bereikbaar is. Een school, een stadion en een productiebedrijf zijn voor hen dezelfde vraag, namelijk of de deur openstaat.

De redenering dat je te klein, te lokaal of te weinig interessant bent om een doelwit te zijn, houdt geen stand bij een groep die op volume werkt.

Weet u of uw organisatie binnen tien dagen zou kunnen aantonen welke bestanden er precies zijn buitgemaakt?

Analyse 24 juli 2026

Voor vier dollar kocht een crimineel toegang tot een groot taalmodel, en bouwde daar een complete aanvalsdienst omheen.

Onderzoekers van Cato Networks beschrijven een Russischtalige actor die eerst zes methoden deelde om de veiligheidsfilters van een bekend taalmodel te omzeilen, en enkele maanden later een werkend product verkocht dat een doelwit binnen tien minuten scant en er een rapport van maakt. Die methoden draaien niet om het kraken van het model zelf, maar om misleiding. Je doet je voor als beveiligingsonderzoeker, of je doet alsof een eerdere weigering een technische storing was en je probeert het gewoon opnieuw.

Wat mij bezighoudt is niet dat een taalmodel misbruikt kan worden. Dat wisten we. Het gaat om de prijs.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe het onderscheid tussen een amateur en een professional vervaagt. Het verkennen van een netwerk, het schrijven van misbruikcode en het samenvatten van buitgemaakte data waren jarenlang het werk van mensen met kennis en tijd. Steeds vaker doet een model dat werk, sneller en zonder enige aarzeling.

Voor Nederlandse en Belgische organisaties betekent dit dat de groep mensen die een serieuze aanval kan uitvoeren groeit, ook al blijft de onderliggende techniek gelijk. De verdediging verandert daar niet fundamenteel door. De frequentie en de snelheid waarmee zij wordt beproefd wel.

De claims van de betrokken actor zijn niet onafhankelijk vastgesteld. Het patroon eronder helaas wel.

Hoe houden jullie rekening met aanvallers die niet slimmer worden, maar wel talrijker en sneller?

Analyse 23 juli 2026

Een criminele groep die met pensioen gaat, stuurt tegenwoordig een ondertekend persbericht.

De afpersingsgroep LAPSUS$ publiceerde een met PGP ondertekende verklaring waarin staat dat alle operaties permanent zijn beëindigd. De financiële doelen zijn behaald, schrijven ze, en er volgen geen nieuwe lekken, berichten of aanbiedingen van toegang. In diezelfde tekst claimt de groep wel dat alle gegevens van gebruikers van een platform zijn doorverkocht aan Chinese partijen.

Wat hier gebeurt is interessanter dan de aankondiging zelf. De verklaring is niet bedoeld voor slachtoffers, maar voor de markt waarin deze groepen opereren. Een handtekening en een net afscheid zijn bouwstenen van reputatie, en reputatie bepaalt of toekomstige partners hen serieus nemen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaak zo'n afscheid tijdelijk blijkt. Groepen keren terug onder een andere naam, met dezelfde mensen en vaak dezelfde infrastructuur.

Voor Nederlandse en Belgische organisaties verandert er daarom weinig. De echtheid van de handtekening en de identiteit van de schrijvers zijn niet onafhankelijk vastgesteld, dus wie eerder door deze groep is geraakt zet de monitoring niet uit op basis van dit bericht.

Hoe zou u binnen uw organisatie vaststellen of een aangekondigde stop van een afpersersgroep werkelijk betekenis heeft?

Analyse 21 juli 2026

Een kwetsbaarheid zonder patch kun je niet dichten. En precies dat maakt de nieuwste SonicWall zaak zo leerzaam.

Onderzoekers van Volexity tonen aan dat twee ernstige lekken in de SonicWall SMA1000 gateway al zeker drie weken werden misbruikt voordat er een officiële update beschikbaar was. Aanvallers combineerden de lekken om op afstand code uit te voeren en hun rechten te verhogen, en gebruikten een overgenomen gateway vervolgens als springplank naar het achterliggende netwerk. Eén van de twee lekken scoort een 10.0 op de CVSS schaal, de hoogst mogelijke waarde.

Het ongemakkelijke zit niet in de techniek, maar in de tijdlijn. Wekenlang was er geen patch om te installeren, geen advies om op te volgen, geen knop om op te drukken. De enige verdediging in die periode was opmerken dat er iets niet klopte.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaak juist die randapparaten aan de rand van het netwerk het eerste doelwit zijn. Een gateway staat per definitie open naar buiten, en dat maakt hem aantrekkelijk.

Voor organisaties in Nederland en België betekent dit dat patchen alleen niet genoeg is. Je hebt ook zicht nodig op wat je apparaten aan de rand doen, juist in de weken dat een leverancier nog geen oplossing heeft.

Zou jouw organisatie merken dat een firewall of gateway is overgenomen, in de weken voordat er een patch bestaat?

Analyse 20 juli 2026

De eerste grote platforminbraak door een autonome AI agent is een feit. En het opvallendste detail zit niet in de aanval, maar in het onderzoek erna.

Hugging Face, het grootste platform voor AI modellen ter wereld, bevestigde dit weekend dat een autonoom agentsysteem is binnengedrongen via een kwaadaardige dataset. Het verzamelde interne toegangssleutels en voerde een weekend lang duizenden acties uit in een zwerm kortstondige werkomgevingen. Publieke modellen en datasets zijn volgens het platform niet geraakt en alle sleutels zijn vervangen.

Wat deze zaak bijzonder maakt is dat snelheid en schaal van een inbraak niet langer door mensenhanden worden begrensd. Zelfs het onderzoek erna liep daarop vast. Commerciële AI diensten blokkeerden de echte aanvalsdata met hun veiligheidsfilters, dus het team moest uitwijken naar een open model op eigen infrastructuur.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe snel aanvallers elke nieuwe AI mogelijkheid in de praktijk brengen.

Voor organisaties in Nederland en België raakt dit twee kanten. Uw systemen kunnen doelwit worden van aanvallen op machinesnelheid, en uw incidentrespons heeft gereedschap nodig dat die snelheid bijhoudt.

Zou uw detectie een aanvaller opmerken die duizenden kleine acties in één weekend uitvoert, zonder ooit moe te worden?

Analyse 19 juli 2026

De gevaarlijkste aanvalsmethode van dit moment vraagt geen enkele kwetsbaarheid. Hij vraagt alleen of u even wilt bewijzen dat u geen robot bent.

Microsoft ziet een duidelijke toename van ClickFix aanvallen. Het patroon is simpel en juist daarom effectief. Via een advertentie of een gemanipuleerd zoekresultaat belandt een medewerker op een pagina met een nep captcha. Om verder te komen moet hij een stukje tekst kopiëren en in een venster plakken. Wat hij niet ziet, is dat hij daarmee zelf een commando start dat wachtwoorden, tokens en documenten naar de aanvaller stuurt.

Het bijzondere is dat er geen lek wordt misbruikt, maar vertrouwen. De gebruiker is niet het slachtoffer van een exploit, maar de uitvoerder van de aanval. Bij de gemeente Epe wisten aanvallers zo eerder dit jaar binnen te komen en de gegevens van vrijwel alle inwoners buit te maken, tot en met het burgerservicenummer.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze methode wint aan terrein, precies omdat techniek er weinig tegen kan beginnen. Een firewall houdt geen commando tegen dat de gebruiker zelf intypt.

Voor elke organisatie betekent dit dat bewustwording geen vinkje op een lijst is, maar de eerste verdedigingslinie. Uw mensen moeten weten dat een echte website nooit vraagt om een commando in een systeemvenster te plakken.

Zou een medewerker in uw organisatie herkennen dat een captcha die vraagt om iets te plakken en uit te voeren, geen captcha is maar een aanval?

Analyse 17 juli 2026

Een wet die de overheid transparanter moet maken, zorgde er deze week voor dat de gegevens van duizenden inwoners op straat kwamen te liggen.

Nederlandse gemeenten publiceren documenten die op grond van de Wet open overheid openbaar zijn, zoals vergunningaanvragen en zienswijzen rond bijvoorbeeld de komst van een asielzoekerscentrum. In die documenten stonden persoonsgegevens die vooraf onleesbaar gemaakt hadden moeten worden. Dat gebeurde lang niet altijd.

Uit onderzoek van NOS en Nieuwsuur bleek dat in 255 documenten een burgerservicenummer zichtbaar was. In één document van de gemeente Pijnacker-Nootdorp stonden de naam, het adres, het telefoonnummer, het mailadres en het BSN van 43 inwoners. Meerdere gemeenten haalden documenten offline nadat het onderzoek naar buiten kwam.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat het grootste privacyrisico vaak niet bij criminelen ligt, maar bij goedbedoelde processen die de zorgvuldigheid missen.

Voor elke organisatie geldt dezelfde les. Op het moment dat je een document openbaar maakt, ben je de controle over de gegevens erin kwijt. Vooraf afschermen is geen formaliteit, het is de enige bescherming die de mensen achter die gegevens nog hebben.

Weet u zeker dat in de documenten die uw organisatie publiceert geen persoonsgegevens per ongeluk zichtbaar blijven?

Analyse 16 juli 2026

Een inbraak in februari. Een golf phishingmails in mei en juni. En pas in juli weten bijna 42.000 Nederlanders dat hun gegevens al maanden op straat lagen.

Bij de Europese campingboekingssite Secureholiday, gebruikt door zo'n vijfhonderd campings, werden namen, e-mailadressen, bestemmingen, boekingsdata en betaalde bedragen buitgemaakt. Bankgegevens bleven buiten schot.

Het lek bleef onzichtbaar tot criminelen de gestolen data gingen verzilveren. Ze stuurden mails die vroegen de betaling opnieuw te bevestigen, en die waren juist zo geloofwaardig omdat ze de echte boekingsgegevens bevatten. Veertien mensen zijn inmiddels opgelicht, van wie zes Nederlanders.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon telkens terugkeren.

Voor organisaties betekent het dat een datalek niet eindigt bij de melding. De echte schade komt vaak maanden later, wanneer de buitgemaakte gegevens worden ingezet voor gerichte fraude tegen klanten of medewerkers.

Hoe lang bewaart uw organisatie de gegevens van klanten die allang geen klant meer zijn?

Analyse 14 juli 2026

Achter ieder cijfer over ransomware staat een organisatie die haar werk probeert voort te zetten terwijl criminelen druk uitoefenen.

Vandaag publiceren we het eerste Jaarrapport Cyber Dreigingsradar. De meetreeks bevat 28.446 organisaties die sinds 2020 op leksites van ransomwaregroepen zijn verschenen. In het laatste meetjaar kwamen daar 7.930 registraties bij. Nederland telt 239 geregistreerde organisaties en België 249.

Die cijfers zijn een ondergrens. Alleen organisaties waarvan gegevens openbaar op leksites verschenen, zijn meegeteld. Daarom kijken we ook naar de ontwikkeling, de actieve groepen en de sectoren die vaker worden geraakt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe losse incidenten samen een patroon vormen. Het jaarrapport maakt dat patroon zichtbaar over meerdere jaren.

Voor organisaties in Nederland en België biedt dit geen voorspelling, maar wel een betere basis om prioriteiten te stellen. Om je te verdedigen moet je weten hoe ze aanvallen.

Welke ontwikkeling uit het jaarrapport moet volgens jou bovenaan de agenda van bestuurders en beveiligingsteams staan?

Analyse 13 juli 2026

De gevaarlijkste kwetsbaarheid is niet altijd de nieuwste, maar die waarvoor geen oplossing meer komt.

In de Motorola MR2600 router, een populair model voor thuis en kleine bedrijven, ontdekte een onderzoeker een ernstig lek. Een aanvaller kan het toestel op afstand overnemen zonder ook maar één wachtwoord, door kwaadaardige firmware te uploaden. Daarmee krijgt hij volledige controle over al het internetverkeer dat erlangs gaat.

Het echte probleem zit niet in het lek, maar in wat erop volgt. Het toestel is einde levensduur en krijgt geen beveiligingsupdates meer. De fabrikant claimt het product zelfs niet langer. Een oplossing komt er simpelweg niet.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat verouderde apparatuur een blinde vlek wordt. Een router, camera of printer die jaren geleden is aangeschaft, blijft stilletjes aan het netwerk hangen, lang nadat de fabrikant is gestopt met onderhoud.

Voor Nederlandse en Belgische organisaties betekent dit dat veiligheid geen momentopname is. Een apparaat dat vandaag veilig is, kan over twee jaar een open deur zijn, zonder dat er iets aan is veranderd behalve de tijd.

Weet u welke apparaten in uw netwerk geen updates meer krijgen van de fabrikant?

Analyse 12 juli 2026

De gevaarlijkste inbraak is niet die in uw eigen systemen, maar die in iets wat u vertrouwt.

In het populaire softwarepakket jscrambler verschenen op 11 juli kwaadaardige versies. Onderzoekers van beveiligingsbedrijf Socket ontdekten dat alleen het installeren van zo'n versie al genoeg was om op de achtergrond een verborgen programma te starten. Dat programma sluisde wachtwoorden, browsergegevens en actieve sessies weg en nestelde zich in het systeem voor blijvende toegang.

Wat dit zorgelijk maakt, is het patroon. De aanvaller hoefde geen enkel systeem binnen te dringen. Hij vergiftigde een bouwsteen die ontwikkelaars wereldwijd zelf binnenhalen en liet het slachtoffer het werk doen. Binnen enkele uren volgden meerdere kwaadaardige versies, afgewisseld met schone, om het opschonen te bemoeilijken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de softwareketen een steeds vaker gekozen ingang is. De aanval verschuift van de voordeur naar de leverancier.

Voor Nederlandse en Belgische organisaties betekent dit dat de eigen beveiliging maar een deel van het verhaal is. Wie niet weet welke externe onderdelen in zijn software zitten, kan een inbraak binnenhalen zonder dat er ooit op een deur is geklopt.

Weet u welke externe softwareonderdelen uw organisatie dagelijks automatisch binnenhaalt en vertrouwt?

Analyse 11 juli 2026

Aanvallers hebben de tijd tussen inbraak en gijzeling teruggebracht tot minder dan een uur.

Onderzoekers van beveiligingsbedrijf Huntress brachten in kaart hoe criminelen via de kwetsbaarheid CitrixBleed 2 een netwerk binnendrongen en in dezelfde middag ransomware uitrolden. In een van de onderzochte gevallen werd de aanval alleen gestopt doordat Huntress de systemen op tijd isoleerde. Door een fout in de software lekte het geheugen van de NetScaler, waarna de aanvallers geldige sessietokens overnamen.

Het verontrustende zit in het detail. Meervoudige verificatie deed er niet toe, want een gekaapte sessie vraagt niet om een nieuwe inlog. En de aanvallers volgden telkens hetzelfde draaiboek, wat wijst op een geïndustrialiseerde werkwijze in plaats van los maatwerk.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de reactietijd van verdedigers de nieuwe frontlinie is. Niet de vraag of een lek bestaat, maar hoe snel een organisatie een misbruikt lek opmerkt en isoleert.

Voor Nederlandse en Belgische organisaties die NetScaler gebruiken betekent dit dat patchen alleen niet genoeg is. Wie een uur nodig heeft om een inbraak te zien, is al te laat.

Hoe snel zou uw organisatie een gekaapte sessie op een kritiek systeem vandaag opmerken?

Analyse 10 juli 2026

Aanvallers hebben een nieuwe en lucratieve prooi ontdekt, en die staat niet in een serverkast maar in de cloud.

Beveiligingsbedrijf Darktrace bracht in kaart hoe aanvallers een verkeerd geconfigureerde toegangspoort naar Amazon Bedrock overnamen, het AI-platform van Amazon. Via een openstaande poort kregen zij toegang tot de omgeving en zetten de rekenkracht in voor het minen van de cryptomunt Monero.

Cryptomining klinkt onschuldig, maar het is de kanarie in de mijn. Wie ongemerkt uw rekenkracht kan stelen, kan doorgaans ook bij uw modellen, uw prompts en uw gegevens. De aanval laat zien hoe snel een veelbelovende nieuwe technologie ook een nieuwe aanvalslaag wordt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat AI-infrastructuur steeds vaker het doelwit is, en niet alleen het wapen.

Voor Nederlandse en Belgische organisaties die AI omarmen betekent dit dat elke nieuwe AI-dienst dezelfde basishygiëne verdient als elke server, met gesloten poorten, geroteerde sleutels en geen standaardinstellingen.

Weet u welke AI-diensten er op dit moment binnen uw organisatie draaien, en wie ze heeft geconfigureerd?

Analyse 9 juli 2026

De voordeur van ons digitale leven zit beter op slot dan ooit. En juist daarom worden er meer accounts gestolen dan een jaar geleden.

De Autoriteit Persoonsgegevens telde in 2025 ruim 39.000 datalekmeldingen. Wat daarin opvalt, is de explosieve groei van accountovernames, van 607 naar 1.742 meldingen in één jaar, bijna een verdrievoudiging. De toezichthouder wijst phishing met behulp van AI aan als aanjager, berichten die zo overtuigend zijn dat ze bijna niet meer van echt te onderscheiden zijn.

Maar er speelt iets fundamentelers. Nu tweestapsverificatie en passkeys het inloggen zelf goed beveiligen, verplaatst de strijd zich naar de randen van het account. Aanvallers mikken niet meer op het wachtwoord, maar op het moment waarop een systeem een mens vertrouwt om te bewijzen wie hij is. Het herstel van een vergeten account, de extra controle bij een grote betaling, het aanmelden van een nieuw toestel. Dat is het nieuwe slagveld.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon terugkomen bij incident na incident.

Voor organisaties in Nederland en België betekent het dat de aandacht moet verschuiven. Niet alleen sterkere sloten op de voordeur, maar net zo goed toezicht op het keukenraam, op de helpdesk die een account reset, op de procedure bij een nieuw apparaat, op de menselijke stap die criminelen nu bewust opzoeken.

Hoe controleert jouw organisatie of iemand die een account wil herstellen ook echt is wie hij zegt te zijn?

Analyse 8 juli 2026

Steeds vaker schakelt een aanvaller eerst je beveiliging uit, en pas daarna volgt de echte aanval.

De ransomwaregroep The Gentlemen, door Microsoft gevolgd als Storm-2697, ontstond halverwege 2025 en groeide binnen een jaar uit tot een van de snelst opererende bendes, met meer dan vijfhonderd slachtoffers in tientallen landen. Hun handelsmerk is een zelfgebouwd gereedschap dat gericht de beveiligingssoftware op een systeem stillegt voordat de gijzeling begint.

Wat mij hierin opvalt, is dat de aanval verschuift van binnendringen naar verblinden. De bewaker wordt niet omzeild, maar eerst het zicht ontnomen. Wie alleen vertrouwt op een alarm dat afgaat, mist het moment waarop dat alarm wordt uitgezet.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze werkwijze snel navolging krijgt bij andere groepen, omdat ze de reactietijd van een securityteam tot bijna nul terugbrengt.

Voor Nederlandse en Belgische organisaties betekent dit dat detectie alleen niet meer volstaat. Je hebt bewaking nodig die merkt wanneer de bewaking zelf wordt uitgeschakeld, en een reactie die niet afhangt van één systeem.

Zou uw organisatie het merken wanneer iemand vannacht stilletjes uw beveiligingssoftware uitschakelt?

Analyse 7 juli 2026

Een vervalst identiteitsbewijs dat er echter uitziet dan het origineel. Dat is geen toekomstscenario meer, maar de dagelijkse realiteit geworden.

Onderzoekers waarschuwen dat generatieve AI in enkele minuten documenten namaakt, van paspoorten tot facturen, zonder de sporen waarop we altijd controleerden. Een onderzoeksbureau registreerde in 2025 een stijging van ruim driehonderd procent in fraude met synthetische identiteitsdocumenten. De klassieke controle op lettertype, logo of opmaak levert niets meer op, want de vervalsing oogt foutloos.

Wat mij hierin opvalt, is dat de controle verschuift van hoe iets eruitziet naar of het herkomstspoor klopt. Het oog is uitgespeeld als beveiligingslaag.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze vervalsingen juist opduiken bij het aanmaken van accounts, bij verzekeringsclaims en bij kredietaanvragen, precies daar waar organisaties nog vertrouwen op een blik op het document.

Voor Nederlandse en Belgische organisaties betekent dit dat visuele controle van identiteit niet langer volstaat. Wie klanten op afstand verifieert, heeft aantoonbare en technische echtheidscontroles nodig in plaats van een menselijke inschatting.

Hoe controleert uw organisatie of een aangeleverd document echt is, nu het er altijd echt uitziet?

Analyse 6 juli 2026

Een kwaadaardige uitbreiding die vrijwel elke beveiligingsscanner passeert, zonder dat er iets aan de schadelijke werking verandert. Dat is wat onderzoekers deze week lieten zien.

De techniek heet SkillCloak. Ze richt zich op de kleine pakketten, vaak een instructiebestand met een paar scripts, die AI-agents zoals codeerassistenten laden om een nieuwe vaardigheid te leren. Zo'n pakket kan inloggegevens stelen, broncode kopiëren of een achterdeur plaatsen. De onderzoekers herschreven kwaadaardige pakketten zo dat scanners geen patroon meer herkenden, terwijl de code exact hetzelfde bleef doen. In tests op acht scanners en meer dan zestienhonderd echte kwaadaardige pakketten bleef de zwaarste variant in ruim negentig procent van de gevallen onopgemerkt.

Wat mij hierin opvalt, is dat het aanvalsoppervlak verschuift. Niet de AI zelf is het doelwit, maar de bouwstenen die we eromheen installeren om sneller te werken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat organisaties deze uitbreidingen vaak toevoegen met hetzelfde gemak waarmee je een app installeert, zonder dezelfde controle die we op reguliere software loslaten.

Voor Nederlandse en Belgische organisaties betekent dit dat het inkoop- en goedkeuringsbeleid voor software ook moet gaan gelden voor de kleine uitbreidingen van AI-hulpmiddelen. Anders ontstaat er een blinde vlek precies daar waar we het meeste vertrouwen geven.

Weet u welke uitbreidingen uw medewerkers aan hun AI-hulpmiddelen toevoegen, en wie de bron daarvan controleert?

Analyse 5 juli 2026

Een aanval die geen wachtwoord nodig heeft en toch volledige toegang geeft tot een zakelijke omgeving. Dat is de kern van een techniek die onderzoekers deze week beschreven.

De methode heet ConsentFix. Een slachtoffer wordt verleid tot een ogenschijnlijk onschuldige handeling in de browser. Achter de schermen voltooit die handeling een autorisatie waarmee de aanvaller geldige sessietokens voor Microsoft 365 in handen krijgt. Er wordt geen wachtwoord ingevoerd en er hoeft geen kwaadaardige software op het toestel te staan.

Wat mij hierin opvalt, is waar de zwakke plek zit. Niet in het wachtwoord, maar in de sessie die ontstaat nadat iemand zich heeft aangemeld. Veel organisaties leunen op meervoudige verificatie als sluitstuk. Een gestolen token loopt daar simpelweg omheen, omdat het systeem denkt dat de gebruiker al is toegelaten.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik deze verschuiving breder terugkomen. Aanvallers richten zich op het moment na de aanmelding, precies waar veel beveiliging juist stopt.

Voor organisaties betekent dit dat de aandacht moet verschuiven naar het bewaken van actieve sessies. Wie een token intrekt zodra gedrag afwijkt, sluit de deur die meervoudige verificatie openlaat.

Hoe houdt u zicht op wat er in uw organisatie gebeurt nadat een medewerker zich succesvol heeft aangemeld?

Analyse 4 juli 2026

Een bank die een klant 5.000 euro moet terugbetalen na fraude die buiten de bank om liep. Dat is de kern van een uitspraak die vandaag naar buiten kwam.

Bij bunq werd een klant slachtoffer van criminelen die een Google Pay wallet aan zijn rekening koppelden en daarmee ongeautoriseerde betalingen deden. Klachteninstituut Kifid oordeelt dat de bank die schade moet vergoeden.

Wat mij hierin opvalt, is waar de fraude zich afspeelt. Niet in de app van de bank, maar in de koppeling die een gebruiker er zelf in een paar seconden aan hangt. De wallet is handig, maar verplaatst het zwakste punt naar een plek waar de bank minder zicht heeft.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik deze verschuiving breder terugkomen. Betaalfraude beweegt mee met het gemak dat we zelf inschakelen.

Voor organisaties betekent dit dat de vraag over aansprakelijkheid niet stopt bij de eigen systemen. Elke gekoppelde dienst, elke wallet en elke integratie is onderdeel van hetzelfde risico.

Waar legt u de grens tussen het gemak van gekoppelde betaaldiensten en het risico dat u daarmee binnenhaalt?

Analyse 3 juli 2026

Het apparaat dat uw netwerk moet beschermen, kan precies de reden zijn dat een aanvaller binnenkomt.

De FortiBleed campagne verzamelde op grote schaal inloggegevens door verkeer af te luisteren op firewalls van Fortinet. Beveiligingsonderzoekers van SOCRadar koppelen die buitgemaakte gegevens nu rechtstreeks aan de ransomwaregroepen INC en Lynx, met een reeks bevestigde aanvallen waarbij bestanden werden versleuteld.

Het verontrustende zit in de werkwijze. Er werd geen kwaadaardig programma op de firewall gezet. De aanvallers gebruikten een functie die al in het apparaat aanwezig was om onopgemerkt mee te lezen, waardoor de gebruikelijke beveiligingsmeldingen niet afgingen. De inloggegevens die zo werden verzameld, dienen vervolgens als sleutel voor een volgende inbraak.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de rand van het netwerk steeds vaker het beginpunt van een aanval is, niet de eindbestemming. Juist het apparaat dat vertrouwen zou moeten geven, wordt stil ingezet tegen de organisatie.

Voor organisaties in Nederland en België is dit relevant omdat firewalls van dit type overal draaien, van het MKB tot de zorg en de overheid. Een gestolen inloggegeven veroudert niet vanzelf, en kan maanden later alsnog een aanval met ransomware mogelijk maken.

Weet u welke inloggegevens van uw netwerkapparatuur ooit blootgesteld kunnen zijn, en of die vandaag nog steeds geldig zijn?

Analyse 2 juli 2026

Bijna een jaar lang inzichtelijk, en niemand die het merkte.

Bij Avans Hogeschool waren gevoelige persoonsgegevens van bijna 20.000 studenten en medewerkers ongeveer elf maanden lang intern toegankelijk, waaronder ook de salarisgegevens van personeel. Geen hack, geen ransomware, geen gestolen wachtwoord. Bij een wijziging in het platform van Microsoft kwam een instelling verkeerd te staan, waardoor gegevens zichtbaar werden voor gebruikers die een extra handeling deden in een interne applicatie.

Wat deze zaak leerzaam maakt is dat er niets kapotging. Het systeem werkte precies zoals het technisch was ingesteld, alleen was die instelling fout. Daarom sloeg geen enkel alarm aan en duurde het tot een oplettende medewerker het toevallig opmerkte.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit type incident vaker voorkomt dan de spectaculaire aanvallen die het nieuws halen. De grootste risico's zitten niet altijd bij de aanvaller aan de poort, maar bij een configuratie die stilletjes verschuift en die niemand meer controleert.

Voor organisaties in Nederland en België betekent dit dat goede beveiliging niet stopt bij firewalls en virusscanners. Wie regelt dat een gewijzigde instelling wordt gecontroleerd voordat die maandenlang meedraait?

Wanneer heeft u voor het laatst gecontroleerd wie er in uw organisatie bij gevoelige gegevens kan, zonder dat daar een aanval voor nodig is?

Analyse 1 juli 2026

198 miljoen euro. Dat is wat fraude in het Nederlandse betalingsverkeer vorig jaar kostte, en het bedrag groeit harder dan ooit.

De Nederlandsche Bank telde in 2025 zo'n 658.000 frauduleuze transacties, dertig procent meer dan het jaar ervoor. De sterkste stijging zit bij instant betalingen, waarbij het geld binnen tien seconden op de rekening van de ontvanger staat, en bij overboekingen naar het buitenland. Beide zijn nauwelijks terug te draaien zodra ze zijn uitgevoerd.

Wat opvalt is de verschuiving in werkwijze. Criminelen breken steeds minder in op systemen en misleiden steeds vaker de klant zelf, zodat die vrijwillig geld overmaakt. De bank ziet een geldige inlog en een geldige opdracht, terwijl er in werkelijkheid een oplichter aan de andere kant zit.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon dagelijks terug, van valse verkoopadvertenties tot nepberichten uit naam van de bank.

Voor organisaties betekent dit dat fraudepreventie niet stopt bij techniek. Zolang een medewerker of klant onder druk zelf een betaling kan vrijgeven, blijft dat de kwetsbaarste schakel.

Hoe bereidt uw organisatie medewerkers voor op het moment waarop zij zelf, onder druk, een betaling moeten beoordelen?

Analyse 30 juni 2026

Een browserextensie die jarenlang netjes haar werk doet, goede recensies krijgt, en intussen je wachtwoorden meeleest. Dat is geen toekomstscenario, dat is deze week.

Microsoft haalde 119 kwaadaardige extensies uit de eigen winkel, samen goed voor mogelijk 2,6 miljoen installaties. Ze verstopten code in afbeeldingen en lettertypen, bleven dagenlang slapend na installatie en stalen daarna inloggegevens en tweestapscodes. Dezelfde week beschreef het bedrijf een valse extensie onder de naam Perplexity die elke zoekopdracht en zelfs elke toetsaanslag in de adresbalk eerst langs een server van de aanvaller stuurde.

Het patroon erachter is belangrijker dan de losse incidenten. Een extensie draait met de rechten van de gebruiker en ziet alles wat de gebruiker ziet. Wie er een toelaat, geeft een onzichtbare meelezer toegang tot e-mail, bankzaken en interne systemen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik de browser verschuiven van werkplek naar aanvalsoppervlak. Voor organisaties in Nederland en België betekent dit dat extensiebeleid geen detail is. Een onschuldig ogende uitbreiding kan dezelfde schade aanrichten als kwaadaardige software op een server, alleen merkt niemand het.

Welke browserextensies staan er eigenlijk goedgekeurd binnen uw organisatie, en wie controleert wat ze allemaal mogen zien?

Analyse 29 juni 2026

Een berichtenapp die als veilig geldt, en toch lekt de hele gespreksgeschiedenis weg. Niet door een fout in de versleuteling, maar door één beleefd verzoek.

De FBI en CISA waarschuwen voor een campagne waarin Russische inlichtingendiensten gebruikers van Signal benaderen. Het slachtoffer krijgt een bericht dat oogt als een officiële melding van Signal, met het dringende advies om een reservekopie te maken. Even later volgt een tweede bericht dat, onder het mom van een synchronisatieprobleem, vraagt om de herstelsleutel van die reservekopie.

Wie die sleutel van vierenzestig tekens deelt, geeft de aanvaller toegang tot de volledige berichtgeschiedenis. Het venijn zit in het laatste detail. De sleutel blijft geldig, ook nadat het slachtoffer een nieuw account op hetzelfde telefoonnummer aanmaakt. De inbraak is daarmee niet zomaar ongedaan te maken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon steeds terugkeren. De aanval richt zich niet op de wiskunde achter de encryptie, maar op het vertrouwen van de mens die de app gebruikt.

Voor organisaties in Nederland en België betekent dit dat een veilige app geen eindstation is. Bestuurders, journalisten en medewerkers die Signal gebruiken voor gevoelige gesprekken zijn precies het doelwit, en geen enkele instelling beschermt tegen een sleutel die vrijwillig wordt afgestaan.

Weet u welke medewerkers in uw organisatie Signal gebruiken voor werk, en of zij een herstelsleutel ooit zouden delen?

Analyse 28 juni 2026

Een aanval die geen enkele kwaadaardige code bevat, en toch uw systeem overneemt. Dat klinkt als een tegenstelling, maar onderzoekers hebben precies dat gedemonstreerd.

Beveiligingsonderzoekers van Mozilla toonden hoe een volledig schone repository op GitHub een AI-codeassistent kan misleiden tot het uitvoeren van malware. De repository bevat alleen gewone stappen om het project te installeren. Eén onderdeel weigert te starten en geeft een nette foutmelding met een voorgesteld commando. De assistent leest die fout, voert het commando uit om het probleem op te lossen, en haalt daarmee een instructie binnen die verstopt zit in een DNS-record van de aanvaller. Het resultaat is een verbinding waarmee de aanvaller meekijkt, met alle rechten van de ontwikkelaar.

Het venijn zit in de reflex. De assistent doet niets verkeerds volgens zijn eigen logica. Hij herstelt een fout, precies zoals hem gevraagd is. De aanval verschuilt zich in dat behulpzame gedrag, drie stappen verwijderd van wat de assistent daadwerkelijk beoordeelt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik het aanvalsoppervlak verschuiven. Jarenlang trainden we mensen om niet zomaar op een link te klikken. Nu komt daar een reflex bij, want ook onze geautomatiseerde hulpjes laten zich verleiden.

Voor organisaties in Nederland en België die met AI-codetools werken betekent dit dat een gekloond project geen vanzelfsprekende, vertrouwde handeling meer is. De keten die de assistent automatisch afwerkt verdient net zoveel toezicht als de code die hij schrijft.

Laat u uw AI-codeassistent commando's uitvoeren zonder dat een mens elke stap nog bekijkt?

Analyse 27 juni 2026

Een kwetsbaarheid is pas echt gevaarlijk op het moment dat iemand de aanval cadeau geeft.

Voor een lek in Ghost CMS, een platform waarop veel bedrijven hun blog en nieuws draaien, verscheen deze week publieke exploitcode. Binnen korte tijd zijn al meer dan 700 websites misbruikt, waaronder die van bekende universiteiten. Bezoekers van die vertrouwde sites worden ongemerkt naar een kwaadaardige pagina geleid.

Dit is het echte risico van openbare exploitcode. De drempel om aan te vallen verdwijnt. Vandaag verscheen ook publieke exploitcode voor lekken in een AI-server van NVIDIA en in routers van TP-Link, en dook een account op GitHub op dat honderden van zulke aanvalsrecepten bundelt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de tijd tussen bekendmaking en werkende aanval steeds korter wordt. In het AI-tijdperk bouwen aanvallers ruwe code in uren om tot een echte aanval.

Voor organisaties in Nederland en België betekent dit dat patchen geen maandelijkse klus meer is, maar een reflex. De vraag is niet of u kwetsbaar bent, maar hoe snel u handelt.

Hoe snel kan uw organisatie een kritiek lek patchen zodra er publieke exploitcode verschijnt?

Analyse 26 juni 2026

Een datalek waarvan na maanden nog steeds niemand weet hoeveel slachtoffers er precies zijn.

Bij het onderwijsplatform Canvas zijn gegevens buitgemaakt van 44 Nederlandse onderwijsinstellingen, waaronder grote universiteiten en hogescholen. Wereldwijd gaat het om honderden miljoenen studenten, docenten en medewerkers. Toch kan de minister van Onderwijs nog altijd geen betrouwbare schatting geven van het aantal Nederlandse slachtoffers.

Dat komt door waar de inbraak plaatsvond. Niet bij de scholen zelf, maar bij Instructure, de leverancier achter Canvas. Eén platform dat tientallen instellingen delen, is ook één doelwit dat hen in één klap allemaal raakt. De getroffen scholen zijn voor het antwoord op de simpelste vraag afhankelijk van hun leverancier, namelijk wiens gegevens precies zijn gestolen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat hierin het echte risico van de keten zit. Niet alleen dat een leverancier gehackt wordt, maar dat een organisatie daarna afhankelijk is van diezelfde leverancier om te begrijpen wat haar is overkomen.

Voor elke organisatie die met gedeelde software werkt, betekent dit dat het zicht op uw eigen data ophoudt waar het systeem van een ander begint.

Weet u bij welke externe leveranciers de persoonsgegevens van uw organisatie op dit moment zijn opgeslagen?

Analyse 25 juni 2026

De meest overtuigende oplichter van vandaag belt u vanaf het echte nummer van uw eigen bank.

Klanten van de bank Knab worden gebeld door fraudeurs die het telefoonnummer van Knab nabootsen, zodat op het scherm de echte naam van de bank verschijnt. De beller meldt een verdachte inlogpoging en vraagt om ter verificatie een QR code te scannen. Wie dat doet, geeft de aanvaller toegang tot zijn apparaat of rekening. De Fraudehelpdesk waarschuwde er deze week voor.

Wat dit gevaarlijk maakt, is niet de QR code zelf, maar wat eraan voorafgaat. De oplichters kennen vaak al uw naam, uw rekeningnummer of een recente transactie. Die gegevens komen uit eerdere datalekken. Zo klinkt het gesprek kloppend voordat er ook maar iets verdachts gebeurt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat phishing steeds minder op een slecht geschreven mail lijkt en steeds meer op een normaal telefoongesprek.

Voor organisaties betekent dit dat een datalek nooit een afgesloten incident is. Gestolen klantgegevens van vorig jaar worden vandaag het script voor een telefoontje dat bijna niemand nog als oplichting herkent.

Zou u een telefoontje van uw eigen bank nog wantrouwen als alles op het scherm klopt?

Analyse 24 juni 2026

De gevaarlijkste les van deze week is niet welk lek er is gevonden, maar hoe snel het van bekend naar misbruikt ging.

In de Joomla Content Editor, een veelgebruikte uitbreiding voor het Joomla platform, zit een kritiek lek met de hoogst mogelijke score van 10.0. Het stelt aanvallers in staat om zonder inloggegevens code uit te voeren op een server. Binnen 24 uur na het verschijnen van een openbare exploit waren al honderden websites overgenomen.

Het meest veelzeggende detail is dat zelfs de eigen infrastructuur van Joomla werd geraakt. Drie officiële domeinen gingen offline. Als de maker van het platform zijn eigen sites niet op tijd kan beschermen, hoe groot is het venster dan voor een gewone organisatie?

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon zich steeds vaker herhalen. De tijd tussen openbaarmaking en misbruik is geen weken meer, maar uren.

Voor organisaties betekent dit dat patchen op het ritme van een kwartaalplanning niet meer volstaat. Wie een kwetsbaar systeem aan het internet heeft hangen, is binnen een dag een doelwit. En patchen verwijdert niet wat een aanvaller al heeft achtergelaten.

Hoe snel kan uw organisatie een kritieke kwetsbaarheid patchen nadat die bekend wordt?

Analyse 23 juni 2026

De gevaarlijkste inbraak van deze week ging niet door de voordeur van de slachtoffers, maar via hun sleutelbeheerder.

Bij het datalek bij beveiligingsleverancier Fortinet maakten aanvallers de inloggegevens buit van partners die de firewalls van duizenden klanten beheren. In België zijn daardoor al minstens 270 bedrijven en organisaties geraakt, van transportbedrijven en advocatenkantoren tot scholengroepen en overheidsdiensten. In Nederland gaat het om honderden systemen.

Het zorgwekkende zit in wat erna gebeurt. Bij ruim honderd bedrijven liggen de inloggegevens nog steeds online. Op tientallen systemen zijn al nieuwe accounts aangemaakt, een teken dat de toegang wordt klaargezet voor verkoop op het dark web.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik die verschuiving elke dag duidelijker worden. Aanvallers versleutelen steeds minder en verzamelen steeds meer. Toegang is het product geworden.

Voor organisaties betekent dit dat één zwakke schakel bij een leverancier genoeg is. Wie zijn eigen beveiliging op orde heeft maar zijn beheerpartners niet bevraagt, laat de achterdeur openstaan.

Weet u welke externe partijen toegang hebben tot de firewalls en systemen van uw organisatie?

Analyse 22 juni 2026

De gevaarlijkste criminelen van dit moment gedragen zich niet als hackers, maar als een softwarebedrijf.

Onderzoekers van ESET hebben de werkwijze van de ransomwaregroep Gentlemen blootgelegd. De groep ontwikkelt eigen gereedschap om de beveiligingssoftware van slachtoffers uit te schakelen, iets wat de meeste groepen overlaten aan de criminelen die hun malware huren. Een intern datalek bij de groep zelf gaf de onderzoekers een uniek inzicht.

Dat verandert het speelveld. De groep werkt volgens een verhuurmodel waarbij de uitvoerders negentig procent van het losgeld houden. Het gereedschap draagt namen van bestaande softwareleveranciers en gebruikt vervalste certificaten, zodat het niet opvalt. Nieuwe kwetsbaarheden worden soms binnen enkele dagen na bekendmaking al misbruikt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe deze professionalisering steeds verder gaat, met meerdere Belgische en Nederlandse bedrijven als slachtoffer.

Voor organisaties betekent dit dat losse maatregelen niet meer volstaan. Wie alleen op detectiesoftware vertrouwt, rekent juist op de laag die deze groep doelbewust uitschakelt.

Merkt uw organisatie het wanneer de eigen beveiligingssoftware door een aanvaller wordt uitgeschakeld?

Analyse 21 juni 2026

Soms is het gevaarlijkste bestand niet het bestand dat in gebruik is, maar het bestand dat iedereen allang vergeten was.

De ransomwaregroep LockBit heeft een Nederlandse accountantsorganisatie op de eigen leaksite geplaatst. Opvallend is dat het niet gaat om de actuele systemen, maar om historische gegevens op inactieve servers die maanden geleden al offline werden gehaald. De dagelijkse dienstverlening bleef onaangetast, en toch ligt er nu een dreiging om die oude data te lekken.

Dat is het echte patroon. Criminelen hebben geen verse inbraak nodig om druk te zetten. Een oude reservekopie, een vergeten archiefserver of een dataset uit een afgesloten project is al genoeg. Wat ooit waardevol was, blijft waardevol voor wie het wil misbruiken.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaak juist die vergeten hoeken het probleem worden, en niet de systemen waar dagelijks naar wordt gekeken.

Voor Nederlandse en Belgische organisaties betekent dit dat dataopschoning en bewaartermijnen geen administratieve formaliteit zijn, maar een concreet onderdeel van weerbaarheid. Gegevens die je niet meer bewaart, kunnen ook niet tegen je gebruikt worden.

Weet u welke oude servers en archieven in uw organisatie nog gevoelige gegevens bevatten die allang verwijderd hadden kunnen zijn?

Analyse 20 juni 2026

Niet de slimste aanval haalt een organisatie onderuit, maar de saaiste nalatigheid.

Het NCSC waarschuwt Nederlandse organisaties dat inloggegevens van tienduizenden firewalls en VPN-gateways van Fortinet zijn gelekt. Die gegevens worden nu op criminele fora aangeboden. Onderzoek laat zien dat een groot deel van die accounts standaard fabrieksaccounts zijn, die nooit zijn hernoemd of van een nieuw wachtwoord voorzien.

Dat is het echte patroon. Aanvallers hoeven steeds minder te kraken. Ze loggen gewoon in met wat anderen lieten slingeren. Een firewall die de buitenkant moet beschermen, wordt zo zelf de voordeur.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe vaak dit terugkomt. Niet het exotische onbekende lek, maar de vergeten standaardinstelling.

Voor Nederlandse en Belgische organisaties betekent dit dat het controleren en roteren van beheerderswachtwoorden op randapparatuur geen bijzaak is, maar de eerste verdedigingslinie.

Weet u zeker dat geen enkele firewall of VPN in uw netwerk nog draait op een standaard fabrieksaccount?

Analyse 19 juni 2026

Een ministerie weet in maart dat het is gehackt. Pas in juni weet het hoe.

Bij het Ministerie van Financiën is afgelopen maart ingebroken via een zerodaylek in de software die de toegang tot de werkplekomgeving regelt. Het beveiligingsteam ontdekte de inbraak op 19 maart. De leverancier bracht zijn klanten op 27 maart op de hoogte. Pas nu, drie maanden later, informeert minister Heinen de Tweede Kamer over de toedracht en meldt hij dat er waarschijnlijk gegevens van medewerkers zijn buitgemaakt.

Een zerodaylek is een kwetsbaarheid waarvoor op het moment van de aanval nog geen update bestaat. Geen enkele organisatie kon zich hiertegen wapenen, ook de Rijksoverheid niet. Dat maakt dit type aanval zo lastig, niet de inbraak zelf, maar de lange periode waarin niemand precies weet wat er is gebeurd.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat juist die vertraging tussen ontdekking en uitleg het terugkerende patroon is bij geavanceerde inbraken. Onderzoek kost tijd, en zolang dat loopt, leeft iedereen die mogelijk geraakt is in onzekerheid.

Voor Nederlandse en Belgische organisaties betekent dit dat een goed plan voor ná een incident net zo belangrijk is als de beveiliging ervoor. Wie van tevoren weet hoe te onderzoeken en te communiceren, verkort die periode van onzekerheid.

Hoe lang zou uw organisatie erover doen om te achterhalen wat een aanvaller precies heeft meegenomen?

Analyse 18 juni 2026

Een firewall is bedoeld om aanvallers buiten te houden. Maar wat als de sleutel van die firewall ergens anders al op straat ligt?

Beveiligingsonderzoekers melden dat de wachtwoorden van ongeveer 74.000 Fortinet firewalls zijn gekraakt en dat de toegang nu op internet wordt aangeboden. Volgens cybersecuritybedrijf Hudson Rock behoren ook Nederlandse organisaties tot de vermeende slachtoffers, waaronder onderwijsinstellingen en overheidsinstanties.

Het opvallende is hoe weinig geavanceerd deze aanval is. De criminelen verzamelen configuratiebestanden van apparaten die aan internet hangen, kraken de opgeslagen wachtwoorden en dringen zo door tot de interne omgeving. Veel van die wachtwoorden waren al eerder gelekt en simpelweg nooit vervangen.

Het patroon is belangrijker dan dit ene incident. Aanvallers zoeken steeds minder naar verborgen fouten in software en gebruiken vaker wat organisaties zelf hebben laten liggen, een oud wachtwoord of een apparaat aan de rand dat jaren niet is aangeraakt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat deze vorm van toegang steeds vaker het startpunt is van grotere aanvallen.

Voor Nederlandse en Belgische organisaties betekent dit dat de buitenkant van het netwerk net zoveel aandacht verdient als de software erbinnen. Een firewall die jaren ongemoeid blijft, is geen bescherming maar een open deur.

Wanneer heeft u voor het laatst de wachtwoorden van uw firewalls en randapparatuur vervangen?

Analyse 17 juni 2026

Aanvallers hebben een makkelijkere weg gevonden dan het zoeken naar onbekende lekken. Ze halen de sleutels gewoon op bij de mensen die de software bouwen.

Uit recent onderzoek blijkt dat de laptops van ontwikkelaars zijn uitgegroeid tot een van de rijkste bronnen voor gestolen inloggegevens. Op een gemiddeld toestel staan honderden geheimen, van wachtwoorden tot toegangstokens, vaak in platte tekst in logbestanden en in de opdrachtgeschiedenis.

Het patroon erachter is belangrijker dan een enkel incident. Moderne codeerassistenten halen geheimen uit kluizen en laten er kopieën van achter in mappen en logbestanden die niemand controleert. Een groot deel van de gevonden geheimen zit inmiddels in de mappen van die hulpmiddelen. De scheiding tussen geheimen in de broncode en geheimen op het werkstation bestaat voor aanvallers niet meer.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallers deze opgeslagen toegang steeds vaker als startpunt gebruiken voor aanvallen op de toeleveringsketen.

Voor Nederlandse en Belgische organisaties betekent dit dat endpointbeveiliging verder moet reiken dan virusscanners. De vraag is niet alleen of een laptop schoon is, maar ook welke sleutels erop liggen en wat die ontgrendelen.

Weet u welke inloggegevens er op dit moment in platte tekst op de laptops van uw ontwikkelaars staan?

Analyse 16 juni 2026

Eén klik. Meer was er niet nodig om de mailbox van een slachtoffer leeg te trekken.

Onderzoekers toonden aan dat een kritiek lek in Microsoft 365 Copilot het mogelijk maakte om via een geprepareerde link de assistent stilletjes opdracht te geven. Die doorzocht vervolgens mails, documenten en gedeelde mappen, en sluisde gevoelige inhoud naar buiten zonder dat het slachtoffer iets merkte.

Wat dit zo verraderlijk maakt, is dat de aanval misbruik maakte van een legitieme functie. Niet van een virus of een bijlage, maar van het vertrouwen dat we de assistent geven in onze eigen omgeving.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat elke nieuwe slimme functie die organisaties aanzetten ook een nieuw toegangspunt tot hun data opent. Microsoft heeft dit lek gedicht, maar het patroon keert terug bij elke koppeling die we blind vertrouwen.

Voor organisaties betekent dit dat de uitrol van een assistent net zo zorgvuldig beoordeeld moet worden als elk ander systeem met toegang tot mail en bestanden.

Welke slimme assistenten in uw organisatie hebben op dit moment toegang tot de mailboxen van uw medewerkers?

Analyse 15 juni 2026

Een draaiboek dat in de la ligt, is geen draaiboek.

Tijdens Cyber Europe 2026 oefende het Centre for Cybersecurity Belgium de respons op een grootschalige cyberaanval die het spoor en de scheepvaart platlegt en uitgroeit tot een volwaardige crisis. Het was meteen de eerste Europese test van het crisisdraaiboek uit 2025, dat vastlegt wie wat doet zodra een incident over de landsgrenzen heen escaleert. Aan de oefening deden ook het Verenigd Koninkrijk, Noorwegen, Zwitserland en Oekraïne mee.

Wat deze oefening zo waardevol maakt, is dat ze niet draait om de techniek van de aanval, maar om de samenwerking eronder. Wie waarschuwt wie, wie mag beslissen, en hoe houd je een keten draaiend als een schakel wegvalt. Dat zijn precies de vragen die in een echte crisis het verschil maken tussen beheersbaar en chaos.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat juist de vitale sectoren, met transport en logistiek voorop, steeds vaker doelwit zijn. Voor Nederlandse en Belgische organisaties betekent dit dat een incidentdraaiboek geen formaliteit is voor wetgeving als NIS2, maar iets dat geoefend moet worden voordat het nodig is.

Wanneer heeft uw organisatie voor het laatst geoefend wat er gebeurt als een kernsysteem uitvalt door een aanval?

Analyse 14 juni 2026

De gevaarlijkste indringer breekt niet in. Hij wordt de sleutel.

Onderzoekers legden een spionagecampagne bloot waarbij een aan China gelieerde groep tien jaar lang onopgemerkt actief was in een geïsoleerd bedrijfsnetwerk. In plaats van steeds nieuwe malware binnen te brengen, verving de groep de inlogsoftware van de servers door een gemanipuleerde versie. Zo werd elke login en elk getypt commando zichtbaar, en bleef de toegang bestaan, ook nadat wachtwoorden waren gewijzigd.

Wat dit zo veelzeggend maakt, is dat de aanvaller het vertrouwen van het systeem zelf overnam. Een geïsoleerd netwerk en een streng wachtwoordbeleid geven een gevoel van veiligheid, maar als het authenticatieproces is gekaapt, vertrouwt het netwerk de indringer net zo goed als een echte beheerder.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de stilste aanvallen de gevaarlijkste zijn, omdat ze nauwelijks te onderscheiden zijn van normaal beheer.

Voor Nederlandse en Belgische organisaties betekent dit dat detectie niet kan stoppen bij de buitenmuur. De echte vraag verschuift naar binnen, naar de software die bepaalt wie het netwerk vertrouwt.

Zou uw organisatie het merken wanneer niet de gebruiker, maar de inlogsoftware zelf wordt gecompromitteerd?

Analyse 13 juni 2026

De Belastingdienst hoefde niet gehackt te worden om gegevens te lekken. Een marketingscript deed het werk vanzelf.

De dienst heeft een datalek gemeld bij de Autoriteit Persoonsgegevens. Op verschillende eigen websites, waaronder het portaal voor gedupeerden van de toeslagenaffaire, stuurde trackingsoftware van Adobe het zoekgedrag, de chatbotvragen en de feedback van bezoekers door naar een Amerikaans bedrijf. Toestemming was er niet. Een ethische hacker bracht het aan het licht en daarna is de software uitgeschakeld.

Wat dit zo veelzeggend maakt, is dat er geen aanvaller aan te pas kwam. De data lekte niet ondanks de beveiliging, maar er volledig langs, via een script dat ooit voor websitestatistieken was bedoeld en daarna jarenlang ongemerkt bleef draaien.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit patroon breed leeft. Bijna elke organisatie heeft trackers, pixels en analysescripts op haar site staan, vaak ingebouwd door een marketingafdeling of een extern bureau, en zelden nog gecontroleerd door wie over privacy gaat.

Voor elke organisatie met een website geldt daarom dezelfde toets. Niet alleen of u aanvallers buiten de deur houdt, maar ook of u precies weet welke gegevens uw eigen pagina's op de achtergrond naar derden sturen.

Weet u welke trackers en analysescripts er op dit moment op uw eigen website meedraaien?

Analyse 12 juni 2026

Een phishingmail van je eigen schuldhulpverlener. Voor cliënten van Kredietbank Limburg was dat deze week de realiteit.

De gemeentelijke kredietbank, die voor onder meer Heerlen, Kerkrade, Landgraaf en Brunssum mensen met schulden begeleidt, werd getroffen door een cyberaanval. Vanaf de eigen systemen zijn frauduleuze mails naar mogelijk honderden cliënten verstuurd, met verzoeken om op links te klikken of persoonlijke gegevens te delen. Het onderzoek naar de omvang loopt nog.

Wat dit incident pijnlijk maakt, is de combinatie. De mails kwamen van een echte afzender, dus het advies om de afzender te controleren biedt geen houvast. En de ontvangers zijn mensen die financieel al klem zitten, voor wie een betaalverzoek van hun kredietbank volstrekt normaal voelt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat een gekaapt afzenderkanaal voor criminelen vaak waardevoller is dan een gestolen database, het opent deuren die geen enkele nepmail openkrijgt.

Voor elke organisatie met een klantenbestand geldt daarom dezelfde toets. Niet alleen of u inkomende phishing tegenhoudt, maar ook of u het merkt wanneer uw eigen systemen de afzender worden.

Zou uw organisatie het merken wanneer er vanaf uw eigen systemen phishingmails naar uw klanten vertrekken?

Analyse 11 juni 2026

Een van de grootste medische datalekken uit de Nederlandse geschiedenis krijgt een tweede leven. Niet op het darkweb, maar in de rechtszaal.

Een vrouwenrechtencollectief is een nieuwe massaclaim gestart om het datalek bij laboratorium Clinical Diagnostics, waar criminelen medische gegevens stalen van minstens 700.000 vrouwen die meededen aan het bevolkingsonderzoek baarmoederhalskanker. Vrouwen kunnen zich vanaf nu aanmelden. Opvallend is dat de claim zich ook richt op het ministerie van Volksgezondheid. Het is al de derde claim om hetzelfde lek, en de inspectie concludeerde eerder dat de beveiliging niet voldeed aan de norm voor de zorg.

Daarmee verschuift iets wezenlijks. De vraag is niet langer alleen wie er gehackt werd, maar wie er in de keten verantwoordelijk was voor de gegevens. Een datalek is geen technisch incident meer dat je afsluit met een persbericht, het wordt een juridisch en maatschappelijk dossier dat jaren doorloopt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de juridische nasleep van datalekken een vast onderdeel van het dreigingsbeeld is geworden.

Voor elke organisatie die gegevens laat verwerken door leveranciers is dit relevant. De schade van een lek bij een ander kan op uw bord terechtkomen, en andersom.

Weet u wie er in uw keten aansprakelijk is wanneer de gegevens van uw klanten bij een leverancier uitlekken?

Analyse 10 juni 2026

Een phishingbericht met jouw echte boekingsnummer erin is geen slordige oplichting meer. Het is maatwerk.

Bijna honderd Vlaamse hotels werden deze week getroffen door een golf van phishing. Gasten kregen via WhatsApp of mail een betaalverzoek met hun eigen naam, hun reserveringsnummer en de juiste verblijfsdata. Daarna volgde een valse betaalpagina. Horeca Vlaanderen kreeg bijna honderd meldingen binnen. De gegevens kwamen hoogstwaarschijnlijk uit een eerder datalek bij een boekingsplatform.

Het venijn zit niet in de techniek. Het zit in de geloofwaardigheid. Jarenlang luidde het advies om op taalfouten en vreemde afzenders te letten. Maar een bericht dat jouw boeking tot in detail kent, doorstaat die controle moeiteloos. De gegevens die ooit weglekten, maken de fraude van vandaag overtuigend.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat oude datalekken zelden eindigen op de dag dat ze gemeld worden. Ze keren maanden later terug als grondstof voor gerichte aanvallen.

Voor elke organisatie betekent dit dat een datalek niet alleen uw eigen klanten raakt, maar ook een wapen wordt in handen van anderen. De vraag is niet alleen of u gegevens beschermt, maar ook wat er gebeurt als ze toch ooit uitlekken.

Hoe controleert uw organisatie of een betaalverzoek echt is wanneer alle gegevens erin kloppen?

Analyse 9 juni 2026

Iemand bespaarde een paar honderd euro per jaar door oude domeinnamen op te zeggen. Daardoor kwamen de overlijdensakten en testamenten van kwetsbare mensen op straat te liggen.

Meerdere bewindvoerders lieten hun oude e-maildomeinen verlopen. Wie zo'n domein opnieuw registreert, ontvangt vanaf dat moment alle e-mail die er nog naartoe gaat. Een ethisch hacker stuitte hierop tijdens onderzoek naar een eerder datalek, waarin veel mensen het adres van hun bewindvoerder als contactgegeven hadden opgegeven. Binnen enkele weken kon hij 258 financiële dossiers inzien.

Het venijn zit niet in de hack, maar in de aanname dat een opgezegd domein verdwenen is. Dat is niet zo. Het blijft bestaan en kan door iedereen worden overgenomen, inclusief de mailstroom die er nog op binnenkomt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat vergeten domeinen tot de meest onderschatte risico's behoren. Na een fusie, een rebranding of een afgerond project blijft er vaak een adres achter dat niemand meer beheert.

Voor elke organisatie geldt dezelfde les. Een domein dat u niet meer gebruikt hoort niet zomaar opgezegd, maar bewust geparkeerd te worden.

Weet u welke oude domeinnamen van uw organisatie ooit zijn opgezegd en nu door een ander geregistreerd kunnen worden?

Analyse 8 juni 2026

De gevaarlijkste aanval op je beveiliging schakelt die beveiliging niet uit. Ze laat haar gewoon doorpraten tegen niemand.

Onderzoekers beschreven deze week een nieuwe techniek, EDRChoker genaamd, die misbruik maakt van een ingebouwde functie van Windows om netwerkverkeer te prioriteren. De aanvaller gebruikt die functie omgekeerd en knijpt de verbinding van de beveiligingsagent terug tot bijna niets. Het gevolg is dat de agent zijn meldingen niet meer naar de cloud kan sturen en geen opdrachten meer ontvangt. Het proces draait door, het pictogram blijft groen, maar aan de andere kant komt niets meer binnen.

Wat dit zo lastig maakt, is dat er niets kapotgaat dat een controle zou opmerken. Er wordt geen proces beëindigd en geen bestand aangeraakt. Veel detectie is gebouwd om te zien wanneer beveiliging stopt, niet wanneer beveiliging blijft draaien maar stilvalt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallers steeds vaker kiezen voor onzichtbaarheid boven brute kracht. Niet uitschakelen, maar laten verstommen.

Voor Nederlandse en Belgische organisaties betekent dit dat een groen vinkje in een securitydashboard niet hetzelfde is als zicht. De vraag is niet alleen of de agent draait, maar of er aan de andere kant ook echt gegevens binnenkomen.

Zou u het binnen uw organisatie merken wanneer een beveiligingsagent nog draait maar al uren niets meer doorgeeft?

Analyse 7 juni 2026

De gevaarlijkste aanval op Microsoft 365 van deze week begon niet met code, maar met een telefoontje.

Een nieuwe afpersgroep, door onderzoekers Pink genoemd, belt medewerkers en doet zich voor als de eigen helpdesk. Het slachtoffer wordt naar een valse inlogpagina geleid en voert daar zijn gegevens in. Op dat moment kaapt de groep de actieve sessie en omzeilt zo de meervoudige authenticatie. Binnen enkele minuten doorzoeken ze OneDrive en SharePoint en sturen ze gevoelige bestanden naar buiten.

Wat deze aanpak zo lastig maakt, is dat er geen klassieke malware aan te pas komt. De groep gebruikt legitieme inloggegevens en de eigen cloudtools van Microsoft. Een virusscanner ziet niets, een firewall ziet alleen een gewone medewerker die zijn werk doet.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe deze verschuiving steeds duidelijker wordt. Aanvallers investeren niet langer in malware, maar in overtuigingskracht.

Voor Nederlandse en Belgische organisaties betekent dit dat de belangrijkste verdediging niet in een nieuw securityproduct zit, maar in medewerkers die een onverwacht telefoontje van de helpdesk durven te wantrouwen en zelf terugbellen via een bekend nummer.

Hoe goed zou een medewerker in uw organisatie een telefoontje herkennen dat zogenaamd van de eigen helpdesk komt?

Analyse 6 juni 2026

Eén klik. Meer was er niet nodig om bij de gemeente Epe binnen te komen en 871 gigabyte aan data te stelen, waaronder de persoonsgegevens en burgerservicenummers van vrijwel alle inwoners.

De aanval begon niet met een geavanceerde exploit, maar met een valse captcha. Een medewerker kreeg de instructie een paar stappen te volgen om te bewijzen dat hij geen robot was, en voerde daarbij zonder het te beseffen zelf een verborgen commando uit.

Daarna ging het snel. De aanvaller kraakte het wachtwoord van een beheerder, misbruikte een noodaccount dat geen extra beveiliging had en sluisde de data in stilte naar externe opslag. Geen ransomware, geen losgeldeis, gewoon een kopie die ongemerkt vertrok.

Deze techniek heet ClickFix. Het gevaarlijke is dat het slachtoffer de actie zelf uitvoert, waardoor beveiliging die op verdachte bijlagen of bekende malware let, niets opmerkt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik deze verschuiving steeds duidelijker. Aanvallers investeren niet in techniek, maar in het manipuleren van vertrouwen.

Voor Nederlandse en Belgische organisaties zijn bewustwording en streng accountbeheer daarom geen bijzaak, maar de eerste verdedigingslinie.

Weet u welke accounts in uw organisatie nog zonder meervoudige verificatie toegang hebben tot gevoelige data?

Analyse 5 juni 2026

Vijf maanden. Zo lang keken aanvallers mee in de mailbox van een directeur bij een grote internationale beurs, zonder dat iemand het merkte.

Geen ransomware, geen losgeldeis, geen kapotte systemen. De aanvallers kopieerden de inhoud van de mailbox in kleine, herhaalde batches en leidden die weg via Dropbox en OneDrive. Diensten die in elke organisatie de hele dag gebruikt worden, en waar vrijwel niemand argwanend naar kijkt.

Dat is precies de kracht van deze aanpak. Wie data wegsluist via een onbekende server valt op. Wie het doet via OneDrive verdwijnt in de ruis van normaal werkverkeer. De stilte is de aanval.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik deze verschuiving steeds duidelijker. Aanvallers investeren niet in lawaai, maar in geduld en in het misbruiken van vertrouwde diensten.

Voor Nederlandse en Belgische organisaties betekent dit dat detectie op basis van bekende malware of verdachte domeinen niet meer volstaat. De gevaarlijkste toegang ziet er vaak volkomen gewoon uit.

Zou u het merken wanneer gevoelige data uw organisatie verlaat via een dienst die u zelf elke dag gebruikt?

Analyse 4 juni 2026

Een datalek is bijna nooit het echte probleem. Wat erna gebeurt, is dat wel.

Bij ruim honderd hotels in Nederland en België zijn reserveringsgegevens buitgemaakt. Geen wachtwoorden, geen creditcards, alleen namen, data en boekingen. Op papier beperkt. Toch zijn gasten inmiddels duizenden euro's kwijt.

De reden is dat de gestolen data perfect bruikbaar is voor gerichte phishing. Een bericht dat je hotel, je aankomstdatum en je reserveringsbedrag noemt, voelt niet als oplichting. Het voelt als service. En precies daarom werkt het.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon steeds terugkomen. Een lek dat technisch klein lijkt, wordt de grondstof voor fraude die mensen echt geld kost.

Voor organisaties betekent dit dat de meldplicht pas het begin is. De echte schade ontstaat bij de klant, dagen later, via een bericht dat te kloppend is om te wantrouwen.

Hoe bereidt u uw klanten voor op fraude die hun eigen gegevens tegen hen gebruikt?

Analyse 3 juni 2026

Een phishingbericht herken je meestal aan wat er niet klopt. Maar wat als alles wel klopt?

Koninklijke Horeca Nederland waarschuwt deze week voor een omvangrijk datalek. Aanvallers zijn binnengedrongen in de boekingssystemen die door een groot aantal hotels worden gebruikt en hebben daar reserveringsgegevens van gasten buitgemaakt. KHN kreeg talloze meldingen van gasten die kort daarna phishingberichten ontvingen.

Het venijn zit in de details. De criminelen weten in welk hotel je hebt geboekt, voor welke datum en onder welke naam. Daarmee sturen ze geen algemene spam, maar een bericht dat naadloos aansluit op een reservering die je echt hebt gemaakt. Een verzoek om je boeking te bevestigen of te betalen oogt dan volkomen logisch.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon steeds vaker. Eén lek bij een gedeelde leverancier raakt niet één organisatie, maar tientallen tegelijk, en levert criminelen precies de context die phishing geloofwaardig maakt.

Voor bestuurders betekent dit dat de vraag niet alleen is hoe goed uw eigen systemen beveiligd zijn, maar ook welke gevoelige gegevens u deelt met leveranciers en hoe die partijen daarmee omgaan.

Weet u welke externe leveranciers toegang hebben tot de persoonsgegevens van uw klanten?

Analyse 2 juni 2026

Een gevangenis is een van de zwaarst beveiligde omgevingen die er bestaat. En toch kan daar data lekken door iets simpels, een laptop die niet werd schoongemaakt.

De staatssecretaris meldt een mogelijk datalek in de gevangenis van Vught. Gedetineerden kunnen daar hun eigen strafdossier digitaal inzien op een speciale laptop zonder internet. Na gebruik hoort die laptop te worden afgesloten en volledig gewist voordat een volgende gedetineerde hem krijgt. Een gedetineerde meldde nu dat op zijn laptop nog gegevens van iemand anders stonden. Beide betrokkenen hebben een risicostatus. Blijkt uit onderzoek dat hij die gegevens echt kon inzien, dan wordt het bij de Autoriteit Persoonsgegevens gemeld.

Wat dit zo leerzaam maakt, is dat hier niets werd gehackt. Geen kwetsbaarheid, geen aanvaller, geen slim trucje. Er was een procedure die op papier klopt en die in de praktijk een keer niet werd gevolgd.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat patroon overal terugkomen. Organisaties investeren in techniek, maar veel datalekken ontstaan bij een menselijke of organisatorische handeling die misgaat.

Voor bestuurders betekent dit dat een datalekregister en een firewall niet genoeg zijn. De vraag is of de dagelijkse routines, het wissen, het overdragen en het opruimen, ook echt worden uitgevoerd en gecontroleerd.

Welke routinehandeling in uw organisatie zou een datalek veroorzaken als die een keer wordt overgeslagen?

Analyse 1 juni 2026

Een chatbot gaf aanvallers de sleutels van accounts weg. Geen exploit, gewoon een overtuigend gesprek.

Een lek in de assistent Meta AI van Instagram maakte het mogelijk om accounts over te nemen, zelfs als die met tweefactorauthenticatie waren beveiligd. Aanvallers misleidden de assistent met promptinjectie, waarna die een wachtwoordherstellink naar het mailadres van de aanvaller stuurde. Wie de gebruikersnaam van een doelwit kende, kon zo binnenkomen. Het gearchiveerde account van het Witte Huis was het bekendste slachtoffer. Meta heeft het inmiddels verholpen.

Wat dit zo veelzeggend maakt, is dat de beveiliging hier niet werd gekraakt maar overtuigd. De tweefactorauthenticatie deed niets, omdat de AI assistent zelf de bevoegdheid had om die stap te omzeilen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon nu vaker. AI systemen die gevoelige handelingen mogen uitvoeren worden een nieuw en onderschat aanvalsoppervlak.

Voor organisaties betekent dit dat elke AI assistent met toegang tot accounts, data of processen even kritisch beoordeeld moet worden als een medewerker met diezelfde rechten.

Welke AI assistenten in uw organisatie mogen nu al gevoelige handelingen uitvoeren zonder dat er een mens tussen zit?

Analyse 31 mei 2026

De apparaten die we kopen om ons netwerk te beschermen, zijn steeds vaker precies de plek waar de aanvaller binnenkomt.

Een kwetsbaarheid in de Palo Alto GlobalProtect VPN wordt op dit moment actief misbruikt. Aanvallers vervalsen een sessiecookie van de functie voor automatische herauthenticatie en zetten zo ongeautoriseerde verbindingen op, zonder ooit een wachtwoord in te voeren. De fout staat sinds eind mei op de lijst met actief misbruikte kwetsbaarheden van CISA.

Het patroon erachter is belangrijker dan deze ene zaak. Firewalls en VPN staan per definitie aan de rand van het netwerk, met een publiek bereikbaar inlogscherm. Juist die randapparatuur krijgt minder vaak een update dan een gewone werkplek, terwijl een fout er direct toegang tot het hele netwerk geeft.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallers steeds sneller schakelen, vaak binnen enkele dagen nadat een kwetsbaarheid bekend wordt.

Voor organisaties in Nederland en België betekent dit dat het in kaart brengen en snel bijwerken van randapparatuur geen bijzaak meer is, maar de eerste verdedigingslinie.

Hoe snel kan jouw organisatie een kritieke patch op een VPN of firewall uitrollen, gemeten in uren of in weken?

Analyse 30 mei 2026

Zeventien miljoen apparaten, en de meeste eigenaren weten van niets.

De Nederlandse politie en het NCSC haalden deze week een omvangrijk botnet offline. Het ging om een residential proxynetwerk dat draaide op 200 servers in Nederland. Bij zo'n netwerk laten criminelen hun internetverkeer lopen via de verbindingen van gewone huishoudens, zodat het lijkt alsof het van een normaal woonadres komt.

Dat is precies wat deze netwerken zo waardevol maakt voor cybercriminelen. Verkeer vanaf een echt huisadres omzeilt veel beveiligingsfilters en valt nauwelijks op. De apparaten die hiervoor worden misbruikt zijn vaak slecht beveiligde routers, camera's of andere slimme apparaten die jaren geleden zijn aangesloten en daarna vergeten.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit soort proxynetwerken steeds vaker opduiken.

Voor Nederlandse en Belgische organisaties betekent dit dat het risico niet alleen in de eigen kantooromgeving zit. Elk slecht beveiligd apparaat thuis of op het netwerk kan ongemerkt onderdeel worden van criminele infrastructuur.

Weet u welke slimme apparaten binnen uw organisatie nog verbonden zijn met het internet zonder dat iemand er nog naar omkijkt?

Analyse 29 mei 2026

Een hackersgroep viel het bedrijf aan dat de betaalterminals levert aan vrijwel elke winkel, supermarkt en parkeergarage in Nederland.

De groep Handala, waarvan wordt aangenomen dat deze nauwe banden heeft met Iraanse belangen, voerde in maart 2026 een cyberaanval uit op Verifone. Dat is de leverancier van betaalterminals en betalingssystemen achter veel vertrouwde pinautomaten en kassa's. Verifone heeft na eigen onderzoek geen bewijs gevonden van een geslaagde inbreuk op haar systemen. Nederlandse banken en betaalinstellingen bevestigen dat er geen merkbare impact was op het betaalverkeer.

Maar De Nederlandsche Bank zet de financiële sector alsnog op scherp. Dat is significant. Toezichthouders doen dat niet zonder reden, ook als concrete bevindingen niet publiek worden gemaakt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat aanvallen op betalingsinfrastructuur vaker voorkomen dan publiekelijk bekend wordt. Terminalleveranciers en betaalverwerkers zitten in de keten van vrijwel elke organisatie, maar worden zelden beschouwd als kritieke leverancier in het leveranciersrisicobeheer.

Als Verifone uw terminalleverancier is, of als uw organisatie afhankelijk is van hun betaalsystemen, is nu het moment om het leveranciersrisico te beoordelen. Niet omdat er een bevestigd lek is, maar omdat DNB dat signaal al voor u heeft afgegeven.

Heeft uw organisatie Verifone of een vergelijkbare terminalleverancier opgenomen in uw leveranciersrisicobeheer?

Analyse 28 mei 2026

Het percentage aanvallen met gijzelsoftware waarbij data daadwerkelijk wordt versleuteld, is gedaald naar het laagste punt in vijf jaar. Dat blijkt uit het nieuwe State of Ransomware rapport van Sophos.

Bij 40 procent van de aanvallen is er nog versleuteling. Bij 10 procent worden data gestolen en wordt publicatie gedreigd, zonder dat systemen worden platgelegd.

De redenering is pragmatisch. Slachtoffers zijn beter geworden in herstellen. Criminelen zijn meegegroeid. Ze versleutelen minder omdat publicatiedreiging alleen ook werkt. Encryptie is een keuze geworden, geen vereiste.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon keer op keer terugkomen. Groepen die geen gijzelsoftware inzetten, maar wel data publiceren, opereren buiten het klassieke herstelscenario dat de meeste organisaties als verdediging hebben ingericht.

Voor organisaties in Nederland en België betekent dit dat een herstelstrategie alleen niet meer voldoende is. De vraag is ook wat er gebeurt als klantdata al publiek is voordat de aanval wordt ontdekt.

Heeft uw organisatie naast een herstelplan ook een protocol voor het geval dat gestolen data al openbaar is gemaakt?

Analyse 27 mei 2026

ShadowByt3S werft actief medewerkers bij grote techbedrijven. Ze bieden insiders die toegang verlenen tot systemen 30 procent van de opbrengst aan, zonder startkosten.

De groep heeft eerder een aanval op Starbucks geclaimd waarbij 10 gigabyte broncode en firmware zou zijn buitgemaakt. Vandaag duikt de naam opnieuw op in de dagelijkse monitoring.

Wat dit onderscheidt van een gewone aanval van buitenaf is de manier van binnenuit opereren. Er is geen kwetsbaarheid in software nodig. Er is geen phishingmail nodig. Een medewerker met toegang en een financieel motief is genoeg.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik criminele groepen steeds vaker adverteren op afgeschermde forums met concrete bedragen en gegarandeerde anonimiteit.

De drempel is bewust laag gehouden. Geen technische kennis vereist. Alleen toegang.

Voor CISO's en HR samen: het gesprek over insiderdreigingen hoort in de bestuurskamer, niet alleen bij IT.

Heeft uw organisatie een actief programma om insiderdreigingen te detecteren en bespreekbaar te maken?

Analyse 26 mei 2026

Drie ransomwaregroepen. Één Pinksterweekend. Drie Nederlandse bedrijven neer.

De Waard Transport B.V. werd geraakt door PLAY ransomware, saver.nl door dragonforce en Van Tuijl Haaften door LockBit 5.0. Drie afzonderlijke criminele organisaties, drie sectoren, allemaal binnen dezelfde 48 uur. De aanvallen werden pas na het weekend zichtbaar op darkwebfora.

Feestdagen zijn voor criminelen geen rustdag maar een kans. Minder personeel op kantoor, minder toezicht op systemen, meer tijd voordat een aanval ontdekt wordt. Het Pinksterweekend van 2026 laat zien dat dit geen theorie meer is.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon consistent terugkomen. Incidentrespons vertraagt zodra medewerkers op vakantie zijn.

Nederlandse organisaties van elke omvang staan op de lijst van ransomwaregroepen. Transport, detailhandel, bouw. Het gaat niet om de sector maar om de beschikbaarheid van een kwetsbaar systeem.

Hoe heeft uw organisatie de noodprocedures geregeld voor als een cyberaanval plaatsvindt tijdens een feestdag?

Analyse 25 mei 2026

Vierendertig pakketten. Driehonderdvierentachtig versies. Gemiddeld vijf minuten en zevenenvijftig seconden tot detectie.

Beveiligingsbedrijf Socket ontdekte op 22 mei 2026 een gecoördineerde supply chain aanval genaamd TrapDoor. Aanvallers verspreidden kwaadaardige pakketten via npm, PyPI en Crates.io tegelijk. De pakketten stelen sleutels van cryptowallets voor Sui, Solana en Aptos, sleutels voor SSH, tokens voor GitHub, cloudtoegangsgegevens en browseropgeslagen data.

Maar er is iets wat verder gaat dan gewone diefstal. De aanvallers dienden ook pull requests in bij populaire open source projecten, specifiek gericht op het toevoegen van verborgen instructies aan configuratiebestanden van codeerassistenten op basis van kunstmatige intelligentie. Ze probeerden de AI tool zelf te besmetten, zodat gegenereerde code besmet zou zijn nog voor een ontwikkelaar er iets van merkte.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe de aanvalsoppervlakte van softwareontwikkeling zich uitbreidt naar de tools die code genereren.

Voor organisaties in Nederland en België die werken met externe ontwikkelaars of open source componenten: de aanval is niet meer gericht op uw netwerk. De aanval zit in de pijplijn die uw software bouwt.

Controleert u welke pakketten uw ontwikkelteam automatisch installeert, en wie die pakketten heeft gepubliceerd?

Analyse 24 mei 2026

Een router die in 2018 werd aangeschaft staat in 2026 nog altijd in productie bij een groot deel van het Nederlandse mkb. En er loopt een botnet dat dat weet.

Nieuw onderzoek van VulnCheck toont aan dat het RondoDox botnet actief misbruik maakt van CVE-2018-5999, een kritieke kwetsbaarheid in oudere modellen van ASUS. De ernstigheidscore is 9,8 op 10. Aanvallers hoeven geen wachtwoord of inloggegevens te hebben om volledige controle te krijgen.

Wat dit verhaal zo relevant maakt, is niet de kwetsbaarheid zelf. Die is al acht jaar bekend. Het probleem is dat netwerkapparatuur buiten de normale patchcyclus valt. Servers krijgen maandelijkse updates, werkstations ook, maar de router in de serverruimte draait al jaren op dezelfde firmware.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit structureel. Niet de nieuwste lekken zijn het actiefst misbruikt, maar de kwetsbaarheden die lang genoeg zijn blijven liggen om vergeten te zijn.

Voor Nederlandse en Belgische organisaties is dit direct toepasbaar. Controleer welke routers in uw netwerk staan, inclusief die van thuiswerkers, en vergelijk firmwareversies.

Heeft uw organisatie een actief patchbeleid voor netwerkapparatuur, of valt die buiten de standaard patchcyclus?

Analyse 23 mei 2026

Achthonderd servers. Twee arrestaties. één webhostingbedrijf dat cyberaanvallen en desinformatiecampagnes faciliteerde.

De FIOD heeft de directeur van een Nederlands webhostingbedrijf en een tweede persoon aangehouden. Het onderzoek richt zich op overtreding van sanctiewetgeving. Het bedrijf zou actief infrastructuur hebben aangeboden voor cyberaanvallen en inmengingsoperaties.

Bulletproof hosting is de logistieke ruggengraat van georganiseerde cybercriminaliteit. Zonder servers die aanvallen doorlaten en onderzoek vertragen, zijn grootschalige campagnes moeilijker vol te houden. Dat de FIOD dit type infrastructuur aanpakt vanuit een sanctieperspectief, is een nieuwe stap in de aanpak van cybercriminaliteit in Nederland.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe hostingproviders steeds vaker zelf onderdeel worden van het strafrechtelijke onderzoek.

Voor organisaties in Nederland en België betekent dit dat de keten achter cyberaanvallen steeds verder in beeld raakt bij opsporingsdiensten. Weten dat de infrastructuur achter een aanval mogelijk al onderzocht wordt, voegt een nieuwe dimensie toe aan het melden van incidenten.

Weet uw organisatie bij welke hostingproviders uw kritieke systemen draaien en of die providers voldoen aan Europese sanctieregelgeving?

Analyse 22 mei 2026

Negentig procent. Dat is wat ransomwaregroep The Gentlemen haar affiliates belooft.

De criminele groep lanceerde deze week formeel een Ransomware as a Service programma op ondergrondse forums. Het standaardmodel in de ransomwarewereld is tachtig procent voor de affiliate, twintig voor de groep zelf. The Gentlemen biedt tien procent meer. Dat is geen beleefdheid, dat is een wervingsstrategie.

Achter die hogere uitbetaling schuilt een gevaarlijke dynamiek. Meer marge voor affiliates betekent meer instroom van criminelen die normaal elders actief waren. Check Point Research bevestigt dat de groep in de eerste vijf maanden van 2026 al 332 slachtoffers publiceerde op haar dataleksite.

De groep richt zich op Windows, Linux, NAS, BSD en ESXi omgevingen. Dat is de infrastructuur van vrijwel elk middelgroot en groot bedrijf in Nederland en België. Met meer affiliates in omloop komen er meer aanvallen, niet minder.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe snel dit soort aankondigingen het criminele ecosysteem vergroot.

Heeft uw organisatie een actueel beeld van welke systemen doelwit zijn bij een gerichte ransomware aanval?

Analyse 21 mei 2026

Er hoeft geen bedrijf te zijn aangevallen om als Belgische burger op een crimineel forum te belanden.

Op een ondergronds forum adverteert een dreigingsactor een vermeend dataset van Belgische burgers. Geen specifieke organisatie als slachtoffer. Geen bevestigde inbraak. De claims zijn niet geverifieerd en zijn mogelijk gerecycled materiaal. Toch staat de aankondiging er.

Dat is de kern van dit type dreiging. De actor verkoopt perceptie. Een geloof dat de data echt is, is genoeg om afnemers aan te trekken of slachtoffers te intimideren. Of de inhoud klopt is secundair.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe dergelijke listings een eigen leven gaan leiden, ongeacht de feitelijke waarde van de aangeboden data.

Voor Belgische burgers en organisaties die persoonsdata verwerken is dit een signaal dat het dreigingslandschap verder reikt dan bekende datalekken bij bedrijven.

Controleert uw organisatie actief of gegevens van uw klanten of medewerkers op criminele forums verschijnen?

Analyse 20 mei 2026

MFA werkt. Maar niet als de aanvaller nooit om je wachtwoord vraagt.

EvilTokens is een platform dat phishing als dienst aanbiedt en in vijf weken meer dan 340 Microsoft 365-organisaties in Europa en de VS heeft gecompromitteerd. De methode steelt geen wachtwoorden maar onderschept het sessietoken dat na een geslaagde verificatie wordt afgegeven.

De aanpak is technisch eenvoudig. Het slachtoffer klikt op een nagemaakte inlogpagina die alle invoer doorstuurt naar de echte omgeving en het sessietoken retourneert. Wat de aanvaller ontvangt, is volledige toegang. Zonder ooit het wachtwoord of de verificatiecode te hebben gezien.

Voor organisaties die MFA onlangs hebben ingevoerd als beveiligingsmaatregel, is dit een ongemakkelijke boodschap. De maatregel klopt. De methode gaat er omheen.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe aanvalstechnieken zich aanpassen aan de beveiligingsmaatregelen die organisaties nemen.

Voor organisaties in Nederland en België geldt dat sessiebeveiliging steeds vaker het zwakste punt is, niet het wachtwoord of de verificatiecode zelf.

Heeft uw organisatie al gecontroleerd of sessietokens een maximale geldigheidsduur hebben?

Analyse 19 mei 2026

Een ransomwaregroep die honderden organisaties aanviel, is nu zelf het slachtoffer. De interne systemen van The Gentlemen zijn uitgelekt en de schade is volledig.

Gesprekslogboeken, slachtofferlijsten, onderhandelingstranscripten en informatie over affiliates liggen nu publiek op meerdere cybercrime forums. De data beslaat de periode november 2025 tot eind april 2026 en toont hoe een moderne RaaS operatie van binnenuit werkt. The Gentlemen is in 2026 de op een na meest productieve ransomwaregroep ter wereld, met 332 gepubliceerde slachtoffers in de eerste vijf maanden van dit jaar.

De lek begon bij hun hostingaanbieder. Een aanvaller bood de gestolen data eerst aan voor 10.000 dollar. Drie dagen later werd alles gratis vrijgegeven op meerdere forums.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe ransomwaregroepen hun interne communicatie vaak behandelen als veilig terrein. Dit incident laat zien dat ook aanvallers kwetsbaar zijn voor de methodes die zij zelf gebruiken.

Voor organisaties in Nederland en België is dit nuttige informatie. De blootgestelde gesprekslogboeken geven inzicht in hoe slachtoffers worden geselecteerd, welke argumenten worden gebruikt in onderhandelingen en welke sectoren prioriteit krijgen bij aanvallen.

Staat uw sector in de doelwitlijsten die nu openbaar zijn?

Analyse 18 mei 2026

Criminelen sturen nu ook echte post om uw crypto te stelen.

Eigenaren van Ledger hardware wallets ontvangen momenteel vervalste post op papier. De brief ziet er officieel uit, compleet met het logo van Ledger, een referentienummer en een melding over een dringende beveiligingsupdate. Er staat een QR code in. Die code leidt naar een namaaksite waar gevraagd wordt om uw herstelzin in te vullen. Dat zijn de 24 woorden die volledige toegang geven tot uw cryptosaldo.

Wie die zin invult, verliest zijn crypto.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe criminelen digitale aanvalstechnieken steeds vaker combineren met fysieke methoden. Dit is niet langer een e-mail of sms die in de spammap belandt. Iemand heeft geld geïnvesteerd in briefpapier, drukwerk, enveloppen en postzegels. Dat betekent dat de opbrengst de investering rechtvaardigt.

Ledger heeft bevestigd dat zij nooit om uw herstelzin vragen, op geen enkele manier. Ontvangt u zo'n brief? Vernietig hem direct.

Weet u welke medewerkers in uw organisatie hardware wallets gebruiken voor zakelijke crypto?

Analyse 17 mei 2026

Grafana weigerde losgeld te betalen. Dat is goed nieuws. Het slechte nieuws: hun broncode is al gestolen via een kwetsbaarheid die veel organisaties op dit moment ook hebben.

Aanvallers maakten gebruik van een zogenaamde Pwn Request kwetsbaarheid in een GitHub Actions workflow. Door een pull request in te dienen bij een publiek Grafana repository kregen ze toegang tot productietokens. Daarmee downloadden ze vijf privérepositories en eisten ze betaling.

De kern van het probleem zit in GitHub Actions workflows die draaien op pull_request_target events. Daarmee krijgen externe bijdragers toegang tot productiegeheimen tijdens een CI uitvoering. Dit is een bekende, maar veelgemaakte misconfiguratie, ook bij grote organisaties.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik hoe supply chain aanvallen via CI omgevingen steeds vaker voorkomen. Grafana heeft 20 miljoen gebruikers en werd door zijn eigen monitoring ontdekt via een canary token die werd getriggerd. Dat is de betere kant van dit verhaal.

De vraag is of uw organisatie overzicht heeft over welke GitHub Actions workflows in uw repositories toegang hebben tot productietokens, en of externe bijdragers daarbij betrokken zijn.

Heeft uw organisatie dit in kaart gebracht?

Analyse 16 mei 2026

Wat me vandaag het meeste opvalt aan de dreigingen van dit moment.

De CalPhishing aanval via Outlook is slim omdat de aanval begint vóórdat je iets ziet. Het ics bestand komt binnen, Outlook verwerkt het automatisch, en ineens staat er een afspraak in je agenda met een link die eruitziet als een normale Teams vergadering. Je phishingtraining heeft je geleerd om verdachte e-mails te herkennen, maar deze aanval omzeilt precies die training.

Combineer dit met de EvilTokens kit, die sessietokens steelt waarmee ook meerfactorauthenticatie wordt omzeild, en je begrijpt waarom meer dan 340 organisaties al getroffen zijn.

The Gentlemen ransomwaregroep verdient aandacht. 240 aanvallen in 2026 alleen al, een 90/10 winstdeling die concurrenten overtreft, en initiële toegang via kwetsbaarheden in Fortinet en Cisco apparatuur die veel organisaties nog niet hebben gepatcht.

Via de monitoring van Cybercrimeinfo zie ik dagelijks hoe snel dit soort groepen groeien. De vraag is niet of, maar wanneer ze Nederlandse en Belgische organisaties actief targeten.

Welk van deze dreigingen is voor jou het meest relevant?

Analyse 15 mei 2026

Er zijn in Nederland nog tienduizenden organisaties die Exchange Server in eigen beheer draaien. Banken, gemeenten, zorginstellingen, advocatenkantoren. Geen cloud. Gewoon eigen servers, op locatie of in een datacenter.

Microsoft heeft gisteren een kwetsbaarheid bevestigd in die servers die actief wordt misbruikt. CVE-2026-42897. CVSS score 8.1. Het gaat om een fout in Outlook Web Access waarmee een aanvaller via een speciaal opgesteld bericht code kan uitvoeren in de browser van de ontvanger. Zonder authenticatie. Van buitenaf.

Een definitieve patch is er nog niet. Tijdelijke bescherming is beschikbaar via de Exchange Emergency Mitigation Service, maar alleen als die actief staat op de server.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat kwetsbaarheden in mailapplicaties bijzonder snel worden opgepakt zodra actief misbruik wordt bevestigd. Geautomatiseerde scanners zoeken binnen uren naar bereikbare systemen. Het tijdvenster om actie te ondernemen is klein.

Als uw organisatie Exchange Server in eigen beheer draait, controleer dan nu of EEMS actief staat en volg de mitigatiestappen van Microsoft.

Hoe lang duurt het gemiddeld bij jouw organisatie voordat een kritieke patch is doorgevoerd?

Analyse 14 mei 2026

Er bestaat in Nederland een beveiligingsnorm die verplicht is voor elke zorginstelling die medische gegevens verwerkt. Die norm heet NEN 7510. Hij schrijft voor hoe informatiebeveiliging in de zorg georganiseerd moet zijn. Onafhankelijke audits, toegangscontrole, aantoonbare maatregelen. Verplicht. Al jaren.

Zorglaboratorium Clinical Diagnostics is gehackt. Meer dan 850.000 mensen hebben gegevens in dit systeem staan, afkomstig van bevolkingsonderzoeken en medische tests. De IGJ heeft nu vastgesteld dat er ernstige tekortkomingen zijn in de naleving van NEN 7510. Geen onafhankelijke audit. Geen adequate toegangscontrole.

Er is hier geen discussie over of de norm goed is. De norm bestond al. Ze werd niet nageleefd.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat dit patroon terugkomt. Organisaties die werken met gevoelige gegevens van grote groepen mensen kennen de norm, maar schuiven de implementatie door totdat er een incident is.

Het verschil met andere sectoren is dat het bij de zorg gaat om medische gegevens. De schade voor mensen van wie gegevens werden buitgemaakt is blijvend. Medische gegevens kun je niet wijzigen, niet terugdraaien en ook niet wissen.

Hoe waarborg jij in jouw organisatie dat beveiligingsnormen niet alleen op papier staan?

Analyse 13 mei 2026

Er zit een patroon in twee berichten van vandaag die op het eerste gezicht niets met elkaar te maken hebben.

De CEO van Odido weigert compensatie te bieden aan 6,2 miljoen gedupeerde klanten na het datalek van februari 2026. Tegelijkertijd sloot Instructure, leverancier van Canvas een akkoord met ShinyHunters na de diefstal van gegevens van honderdduizenden Nederlandse studenten. Het was de leverancier die betaalde, niet de universiteiten zelf.

Beide situaties draaien om hetzelfde. Hoe reageer je als organisatie nadat slachtoffers al schade hebben geleden?

Bij Odido is de reactie afwijzend. Bij Instructure, de leverancier van Canvas, sloot men een akkoord met ShinyHunters om verdere verspreiding te voorkomen. Beide keuzes hebben consequenties voor wie er daarna nog slachtoffer wordt.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dat de druk op getroffen organisaties toeneemt, niet afneemt. Criminelen leren van elk incident welke aanpak werkt.

Voor organisaties die nu nadenken over hun crisisplan, geldt dit. De vraag is niet of je getroffen wordt, maar hoe je dan handelt.

Hoe zou jouw organisatie reageren?

Analyse 12 mei 2026

De combinatie van twee berichten vandaag vertelt een groter verhaal.

Google Threat Intelligence Group meldde dat hackers AI inzetten voor de eerste bevestigde zero day 2FA-bypass. Tegelijkertijd werden 42 TanStack npm pakketten gecompromitteerd in een supply chain aanval.

Dit zijn geen toevalligheden. Aanvallers combineren AI voor aanvalsontwerp met supply chain toegang voor verspreiding. De aanvalsketen wordt korter en het ontdekken moeilijker.

Via de dagelijkse monitoring van Cybercrimeinfo zie ik dit patroon de afgelopen weken toenemen. Aanvallers investeren in AI omdat het loont.

Voor organisaties die JavaScript frameworks gebruiken: TanStack is in miljoenen applicaties aanwezig. Een besmette dependency bereikt je systemen vaak voor je het weet.

Vraag jezelf af: hoe lang duurt het voordat jouw organisatie een gecompromitteerd npm pakket detecteert?

Analyse 11 mei 2026

Nederlandse universiteiten onderhandelen met een ransomwaregroep over losgeld.

Dat is wat er nu speelt. ShinyHunters heeft systemen van meerdere Nederlandse universiteiten gegijzeld en de instellingen zijn actief in gesprek over betaling. Via de dagelijkse monitoring van Cybercrimeinfo zie ik deze situatie zich de afgelopen dagen ontwikkelen.

Ransomwaregroepen kiezen universiteiten niet willekeurig. De combinatie van waardevolle onderzoeksdata, beperkte beveiligingsbudgetten en grote maatschappelijke druk om snel te herstellen maakt het onderwijs tot een aantrekkelijk doelwit.

Het dilemma van betalen is voor universiteiten extra zwaar. Studenten die door verstoringen tentamens missen, onderzoekers die data verliezen en subsidietrajecten die stilliggen, dat zijn de concrete gevolgen als systemen wekenlang plat liggen.

Tegelijk financiert elke betaling de volgende aanval. Op scholen, op ziekenhuizen, op ieder die afhankelijk is van digitale systemen.

Ik zie dit patroon al jaren. Ransomware gaat niet weg zolang het loont.

Hoe kijken jullie hier naar, is er een moment waarop betalen verdedigbaar wordt?