Cyberdreigingen in 2026: waarom de basis nog steeds het verschil maakt

Wat is er aan de hand?

Arctic Wolf onderzocht honderden incident-response-cases uit 2025. Ransomware, business email compromise (BEC) en datadiefstal vormden samen 92% van de zaken.

Inloggen in plaats van inbreken

Het meest opvallende cijfer: bij 65% van de onderzochte incidenten buiten BEC speelde misbruik van externe toegang een hoofdrol, denk aan VPN, Remote Desktop en remote beheersoftware. Twee jaar eerder lag dat nog op 24%.

Arctic Wolf vat het treffend samen: aanvallers loggen steeds vaker gewoon in, in plaats van dat ze inbreken. Een geldige gebruikersnaam en wachtwoord is soms al genoeg.

Dat beeld sluit aan bij wat we eerder al beschreven in onze blog over het AP-rapport over ransomware 2025: ook daar bleek dat een matig afgeschermd account vaak genoeg is.

Vergeten accounts en gekaapte sessies

Je netwerk kan technisch prima zijn ingericht en toch een probleem krijgen zodra iemand geldige toegang bemachtigt.

Gekaapte sessies omzeilen MFA

❌ "MFA beschermt ons account altijd tegen overname." Niet per se. Wij zien bij Campai regelmatig dat een sessie van een gebruiker wordt onderschept. De aanvaller hoeft dan niet opnieuw door de MFA-controle, hij gebruikt gewoon de bestaande sessie.

Dat is extra vervelend bij phishing. Een verzoek vanaf een onbekend Gmail-adres valt op. Een bericht dat écht vanuit het Microsoft 365-account van een collega of leverancier komt, oogt een stuk geloofwaardiger.

Vergeten accounts zijn een blinde vlek

Ook accounts die nauwelijks gebruikt worden verdienen aandacht: een stagiair voor één dag per week, een oud projectaccount, een vergeten systeemaccount.

❌ "Dat account wordt bijna nooit gebruikt, dus daar zit weinig risico." Wij kijken er andersom naar. Juist bij weinig gebruikte accounts valt afwijkend gedrag minder snel op.

Identity security hoort daarom wat ons betreft gewoon bij goed IT-beheer: weten welke accounts bestaan, alleen toegang geven die nodig is, en tijdig uitschakelen en monitoren.

Phishing blijft de belangrijkste ingang

Van de BEC-incidenten waarbij Arctic Wolf de oorzaak kon achterhalen, begon 85% met phishing, tegen 74% een jaar eerder. Iemand leest een tijdje mee in een mailbox, ziet wie facturen verstuurt en stuurt vervolgens zelf een bericht over een "gewijzigd rekeningnummer".

Omdat dat bericht uit het echte account komt, gaan de gebruikelijke alarmbellen niet af. Awareness helpt, maar een medewerker kan niet je hele securitystrategie zijn: goede e-mailbeveiliging, sterke authenticatie en duidelijke betaalprocedures horen er net zo goed bij.

De voordeur staat vaker open dan je denkt

Ransomware blijft dominant: in 44% van de zware incidenten die Arctic Wolf onderzocht, was het de kern van de zaak. Minstens zo relevant is dat datadiefstal zonder versleuteling inmiddels 22% van de cases uitmaakt, een flinke stijging. Aanvallers stelen gevoelige data en persen af zonder ooit ransomware uit te voeren.

Bij onze eigen klanten zien we al langere tijd geen geslaagde ransomware-aanval meer. Wat we wel geregeld zien: een poging om data naar buiten te sluizen zodra een account gecompromitteerd raakt.

Zien is net zo belangrijk als herstellen

Een goede back-up herstelt versleutelde bestanden, maar haalt geen gestolen klantgegevens terug. Daarom draait cybersecurity niet alleen om herstellen, maar ook om zien wanneer iemand grote hoeveelheden data probeert te downloaden of zich anders gedraagt dan normaal. Daar gebruiken wij onder meer EDR, data-exfiltratie-alerts en 24/7 monitoring voor.

Een voorbeeld uit onze eigen praktijk: buiten kantooruren probeerde iemand in te loggen op het account van een medewerker bij een klant, vanaf een ander werelddeel. Onze monitoring herkende het patroon binnen enkele seconden, blokkeerde het account tijdelijk en stuurde een melding naar ons team. De volgende ochtend werd de toegang gecontroleerd hersteld. Geen dataverlies, en de medewerker had zelf niets gemerkt.

De saaie basis die toch werkt

Ook patchen blijft simpel en effectief, al klinkt het minder spannend. Alle tien de meest voorkomende kwetsbaarheden uit het rapport stammen uit 2024 of eerder: geen nieuwe technieken, gewoon bekende gaten die te lang openbleven staan. Is een systeem aantoonbaar kwetsbaar geweest, dan is patchen alleen niet genoeg: ververs ook de bijbehorende inloggegevens, anders sluit je de deur terwijl de aanvaller de sleutel al heeft.

Voorbereid zijn loont

Dat containment loont, blijkt ook uit een ander cijfer: bij 77% van de ransomwarezaken betaalde de organisatie uiteindelijk geen losgeld. Betaalden ze wel, dan verlaagde professionele onderhandeling de eis gemiddeld met 67%. Wie vooraf weet waar de back-ups staan, wie mag besluiten systemen offline te halen en of herstel daadwerkelijk getest is, staat sterker op het moment dat het misgaat.

Precies daarom geloven wij bij Campai in digitale basisveiligheid: niet als keurmerk om het keurmerk, maar zodat gewone maatregelen niet afhankelijk blijven van goede bedoelingen. Wij werken volgens de Risicoklassenindeling Digitale Veiligheid van het NCSC en het CCV, en zijn houder van het Keurmerk Digitale Basisveiligheid MKB.

Wat kun je nu doen?

• Breng je accounts in kaart. Ook stagiairs, oud-projecten en systeemaccounts die "toch bijna nooit" gebruikt worden.
• Patch bekende kwetsbaarheden snel. Onderdeel van structureel ICT-beheer, niet van een losse actie achteraf. Ververs ook inloggegevens als een systeem kwetsbaar is geweest.
• Monitor buiten kantooruren. Een afwijkend inlogpatroon om drie uur 's nachts moet binnen seconden een melding geven, niet pas de volgende ochtend.
• Test je back-up echt. Weten dat hij "geregeld is", is iets anders dan weten dat hij werkt.
• Maak betaalprocedures phishing-proof. Een gewijzigd rekeningnummer verdient altijd een extra check, ook als het bericht van een bekend account komt.
• Ken je risicoklasse. Met een risicoanalyse en 9 vragen weet je welke basismaatregelen jouw organisatie nodig heeft.

Check of jouw digitale basisveiligheid op orde is  

​​​​​​​of stel je vraag aan Diederik