Bedrijven onderschatten ransomware-risico

Wat is er aan de hand?

In 2025 zag de AP 136 ransomware-aanvallen, tegenover 127 in 2024. Dat leidde tot minstens 283 gemelde datalekken, want één aanval raakt vaak meerdere organisaties tegelijk.

Vroeger versleutelden criminelen vooral bestanden. In 2025 werd bij 32 aanvallen alléén data gestolen, zonder versleuteling: een jaar eerder was dat nog maar 15 keer. Pure diefstal en afpersing dus, geen gijzeling meer.

Dat maakt een aanval minder zichtbaar. Bij een groothandel uit het rapport werd pas duidelijk dat ze gehackt waren toen er een briefje bij de printer uitrolde met een link naar een losgeldpagina. Bij Campai zien we dit patroon vaker terug: organisaties die snel digitaliseren, maar geen samenhangende cybersecurity-aanpak hanteren.

De meeste meldingen kwamen uit gezondheid en welzijn, handel/autobranche en informatie en communicatie. Vooral namen, e-mailadressen en BSN's lekten: precies het soort gegevens waarmee criminelen aan identiteitsfraude doen.

Wat betekent dit voor jouw organisatie?

Het meest opvallende punt gaat niet over de aanvallers, maar over de slachtoffers zelf. Bij meer dan de helft van de onderzochte datalekken schatten organisaties de impact zelf in als "beperkt" of "verwaarloosbaar".

Dat beeld herkennen wij uit onze eigen gesprekken met ondernemers. De discussie gaat al snel over de impact op de organisatie zelf en veel minder over de mensen van wie de gegevens mogelijk op straat komen te liggen. Dat komt vooral door onbekendheid met het risico.

Criminelen hebben weinig nodig om daarmee aan de slag te gaan. Met niet meer dan een creditcard kopen ze gestolen data in en combineren die met publiek beschikbare informatie, zoals social media of eerdere datalekken, tot een compleet slachtofferprofiel. Zowel dat profileren als de phishing die er vervolgens op wordt afgevuurd, is sterk geautomatiseerd: er is weinig technische kennis voor nodig.

❌ “Onze contactgegevens zijn niet gevoelig genoeg voor criminelen.”
Onterecht. Juist lijsten met namen en e-mailadressen gebruiken criminelen voor overtuigende phishing.

❌ “Als we geen sporen van de aanval zien, valt de schade wel mee."
Ook onterecht. Ga bij een aanval altijd uit van het ergste scenario, tot loggegevens bewijzen dat er niets is buitgemaakt.
 

Uit onderzoek van de Fraudehelpdesk blijkt dat oplichters geloofwaardiger overkomen door eerder gelekte data: berichten bevatten al kloppende details over een bestaande boeking of bestelling.

De schade voor getroffen organisaties liep op tot honderdduizenden euro's, geld dat ook in preventie had gekund. Precies daarom is het zo riskant om die gevolgen zelf in te schatten: je hebt simpelweg niet het overzicht om dat goed te doen.

Vinkjes zijn geen strategie

Bij klanten zien we vaak dezelfde zwakke plekken terugkomen: RDP (waarmee medewerkers op afstand inloggen op een bedrijfscomputer) dat rechtstreeks vanaf internet bereikbaar is, geen multi-factorauthenticatie, of een account met te veel rechten. Los van elkaar lijkt geen van die punten spectaculair, maar samen vormen ze precies de opening waar aanvallers naar zoeken.

Het mkb loopt daarbij extra risico. Weinig organisaties hebben een apart team voor security en continuïteit, waardoor updates blijven liggen en back-ups zelden getest worden. Zo'n aanval kan een groothandel net zo hard raken als een ziekenhuis.

Wij sturen er altijd op aan om nooit in de situatie te komen waarin losgeld een optie lijkt, in lijn met het advies van de overheid. Is er een cyberverzekering afgesloten, dan ligt die keuze overigens niet bij de klant zelf, maar bij de verzekeraar: gek genoeg wordt losgeld daar regelmatig gewoon in meeverzekerd.

De trend uit het AP-rapport, dat ransomware-aanvallen blijven toenemen, herkennen we gelukkig niet bij onze eigen klanten. Wij zien dat als signaal dat onze meerlaagse aanpak (geavanceerde phishingbeveiliging, bewustwording, apparaatbeveiliging, 24/7 monitoring en goede back-ups) werkt.

Maar dat betekent niet dat we achteroverleunen: vooral de groeiende rol van AI in ransomware-aanvallen vraagt om scherpte.

Keurmerk Digitale Basisveiligheid

Welke maatregelen voldoende zijn, hoef je niet zelf te bedenken. Het NCSC en het CCV hebben daarvoor samen de Risicoklassenindeling Digitale Veiligheid ontwikkeld: één landelijke norm die per risicoklasse beschrijft welke basismaatregelen je nodig hebt, zoals MFA, back-ups, logging en toegangsbeheer. Wij werken volgens die norm en hebben het Keurmerk Digitale Basisveiligheid MKB.

Wat kun je nu doen?

De AP geeft in het rapport een aantal praktische tips, die wij van harte onderschrijven.

• Zorg voor monitoring. Hoe eerder je een aanval ontdekt, hoe kleiner de schade.
• Leg een noodplan klaar en test het. Getest plan erbij, sneller en gestructureerder reageren.
• Vraag op tijd hulp. Schakel externe expertise in en meld het datalek bij de AP.
• Weet wat je bewaart. Wat je niet bewaart, kun je ook niet kwijtraken.
• Denk ook aan herstel. Back-ups die aan je netwerk hangen of nooit getest zijn, vertragen herstel juist in plaats van dat ze het versnellen.
• Informeer betrokkenen snel. Zo kunnen zij zelf opletten voor phishing of misbruik.

Deze tips zijn een goed begin. Maar welke maatregelen jouw organisatie écht nodig heeft, hangt af van je risicoklasse. Met 9 vragen weet je waar je staat.

Check of jouw digitale basisveiligheid op orde is  

​​​​​​​of stel je vraag aan Diederik