CYBERSECURITY

Het Google Threat Intelligence Group (GTIG) waarschuwt in een nieuw dreigingsrapport voor Russische hacker groepen die op steeds slimmere wijze twee-factor authenticatie (2FA) omzeilen. In plaats van traditionele malware te gebruiken, maken de aanvallers misbruik van vertrouwde inlogprocedures en geldige referenties — een tactiek die conventionele beveiligingsmaatregelen moeilijker detecteren.

Gerichte aanvallen op hoogwaardige doelwitten
De aanvallers richten zich op specifieke personen binnen de academische wereld, denktanks, de lucht- en ruimtevaartsector en overheidsinstanties in Europa en de Verenigde Staten. Volgens GTIG maken de dreigingactoren gebruik van een combinatie van social engineering, gespoofte inlogportalen en adversair-in-the-middle-infrastructuur om inloggegevens en MFA-tokens te onderscheppen. Daarnaast zou een inmiddels gepatchte kwetsbaarheid in Microsoft Outlook Web Access (OWA) zijn uitgebuit om toegang tot mailboxen te behouden, zelfs nadat wachtwoorden waren gewijzigd. Deze activiteit zou rond 22 juli 2026 zijn begonnen.

Waarom deze methode zo gevaarlijk is
Wat deze campagnes bijzonder verraderlijk maakt, is dat ze geen malware achterlaten. Omdat de aanvallers werken met gestolen sessietokens en geldige referenties, registreren traditionele endpoint-detectiesystemen geen afwijkingen.

De overstap van iDEAL naar het Europese betaalsysteem Wero levert criminelen dezer dagen gretig materiaal op voor phishingmails. Aanleiding is de aankondiging van ING dat de Scanner, het fysieke apparaatje waarmee veel klanten hun internetbankieren beveiligen, straks geen Wero-betalingen meer kan goedkeuren.

Op dit moment verandert er nog niets: zolang je met iDEAL betaalt, werkt de Scanner gewoon. Vanaf oktober 2026 vervangen webshops iDEAL echter stap voor stap door Wero, en vanaf eind 2027 verdwijnt iDEAL definitief. ING heeft laten weten dat de techniek achter Wero niet in de Scanner is door te voeren. Klanten die online willen blijven afrekenen via Wero, moeten daarvoor overstappen op de ING App. Wie geen app gebruikt of geen smartphone heeft, kan bij deelname van de webshop nog uitwijken naar betalen op factuur, een bankoverschrijving of creditcard.

Microsoft heeft gebruikers eraan herinnerd dat de ondersteuning voor Windows 11, versie 24H2, in de Home- en Pro-edities over twee maanden afloopt. Vanaf 13 oktober 2026 ontvangen apparaten met deze versie geen maandelijkse beveiligings- en kwaliteitsupdates meer. Wie beveiligd wil blijven, moet vóór die datum overstappen op een nieuwere versie.

De deadline is geen verrassing: Windows 11 24H2 verscheen op 1 oktober 2024 en Microsoft hanteert voor consumenten- en kleinzakelijke edities standaard een ondersteuningstermijn van 24 maanden. Die periode loopt nu simpelweg af.

Voor zakelijke gebruikers met de Enterprise- of Education-editie geldt een langere termijn: die versies blijven tot 12 oktober 2027 ondersteund. Ook Windows 10 Enterprise LTSB 2016 bereikt op 13 oktober 2026 het einde van de reguliere updates.

Na de deadline blijven getroffen pc's gewoon werken, maar nieuw ontdekte kwetsbaarheden worden niet meer standaard gedicht. Dat

Amerikaanse cyberautoriteiten hebben hun waarschuwing over de ransomwarebende Medusa flink naar boven bijgesteld. In een bijgewerkt gezamenlijk advies van CISA, de FBI en het Amerikaanse ministerie van Volksgezondheid (HHS) staat dat Medusa sinds de eerste waarneming in juni 2021 meer dan 500 organisaties heeft getroffen. In de vorige versie van het advies, van maart 2025, ging het nog om ruim 300 slachtoffers — een stijging van bijna tweehonderd getroffen organisaties binnen ongeveer een jaar.

Medusa opereert als ransomware-as-a-service: de ontwikkelaars verhuren hun tooling aan affiliates, die zelf inbreken bij slachtoffers. De bende werkt met dubbele afpersing — data wordt versleuteld én gestolen, met dreiging tot publicatie als niet binnen 48 uur wordt onderhandeld via Tor-chats of Tox-berichten. Getroffen sectoren lopen uiteen van zorg, onderwijs en de juridische sector tot kritieke industrie, defensie-toeleveranciers en overheidsdiensten. Een spraakmakend voorbeeld dit jaar was de aanval op het University of Mississippi Medical Center, het enige kinderziekenhuis en Level I-traumacentrum van de staat.

Brave heeft nieuwe maatregelen aangekondigd die het steeds populairdere "GPU-fingerprinting" moeten bemoeilijken. Vanaf versie 1.93 van de browser worden de gegevens die websites via WebGL en WebGPU over iemands videokaart kunnen opvragen grotendeels onherkenbaar gemaakt. Daarmee pakt Brave een trackingtechniek aan die steeds vaker wordt ingezet nu cookies door andere privacymaatregelen minder betrouwbaar zijn geworden.

Wat is GPU-fingerprinting?

Bij browser fingerprinting verzamelen trackers allerlei kleine, apparaatspecifieke eigenschappen om daar één unieke "vingerafdruk" van te maken: schermresolutie, processor, batterijstatus, besturingssysteem, tijdzone, systeemtaal, geïnstalleerde lettertypen en plug-ins. Omdat de combinatie van al die kenmerken bij vrijwel niemand exact hetzelfde is, kunnen adverteerders gebruikers hiermee over het web volgen zonder afhankelijk te zijn van cookies.

De grafische API's WebGL en WebGPU zijn hierbij bijzonder waardevol voor trackers. Deze technieken zorgen ervoor dat websites hardwareversnelde graphics kunnen tekenen, maar geven tegelijk gedetailleerde informatie prijs over de videokaart en grafische driver van een gebruiker. Een script kan zo het exacte merk en model van de GPU achterhalen, plus de precieze lijst van functies die de hardware ondersteunt. Omdat mensen hun videokaart niet dagelijks vervangen, is dit signaal bovendien opvallend stabiel in de tijd, wat het extra geschikt maakt om iemand langdurig te volgen.

Uit een eigen crawl van populaire websites concludeerde Brave dat de meeste sites deze grafische API's vrijwel uitsluitend gebruiken voor het maken van fingerprints, en dus niet om daadwerkelijk grafische content te tonen.

Elke dag vervallen tienduizenden domeinnamen wereldwijd. Wat voor de meeste mensen een oninteressant administratief detail lijkt, blijkt voor cybercriminelen een lucratieve buit. 

Zij kopen deze "dropcatch"-domeinen gericht op, om te profiteren van de reputatie, het verkeer en de DNS-geschiedenis die de vorige eigenaar heeft opgebouwd.

Een op de vijf nieuwe domeinen heeft een verleden

Onderzoek van Infoblox Threat Intel laat zien hoe groot dit fenomeen inmiddels is. In de eerste helft van 2026 werden dagelijks ongeveer 65.000 verlopen domeinen opnieuw geregistreerd, goed voor bijna twintig procent van alle nieuwe domeinregistraties. Dat betekent dat een op de vijf "nieuwe" domeinen in werkelijkheid al een voorgeschiedenis heeft, compleet met vertrouwensscore, oude backlinks, resterend zoekverkeer en soms zelfs nog actieve DNS-records die naar infrastructuur wijzen waar de oorspronkelijke eigenaar allang geen controle meer over heeft.

Niet elk hergebruikt domein belandt bij criminelen; ook legitieme investeerders en onderzoekers kopen verlopen domeinen op. Maar een deel wordt doelbewust ingezet voor kwaadaardige doeleinden, en juist die domeinen zijn extra gevaarlijk: ze zijn moeilijker te herkennen als verdacht, omdat ze al een schone reputatie hebben opgebouwd.

Miljoenen geïnvesteerd in criminele infrastructuur

Een treffend voorbeeld is de groep die Infoblox aanduidt als Sable Squirrel. Deze actor heeft naar schatting bijna zeven miljoen dollar uitgegeven aan het opkopen van verlopen domeinen via veilingplatforms als DropCatch.com, GoDaddy, Namecheap en Dynadot. De domeinen worden ingezet voor een breed criminaliteitsnetwerk: illegale sportstreams, onlinegokpromotie, verkeersomleiding en malware-C2. Opvallend is het dubbele gebruik: een bezoeker ziet een livestream van een voetbalwedstrijd, terwijl een geïnfecteerd apparaat via datzelfde domein communiceert met een command-and-controlserver.

Onderzoekers troffen ruim 31.000 malwaresamples aan die verbinding maakten met deze infrastructuur, waaronder bekende families als Quasar RAT, AsyncRAT, DCRat, NanoCore, Remcos en njRAT, plus varianten met kenmerken van HiddenTear-ransomware. Sectoren als onderwijs, IT-consultancy, overheid, zorg en bankwezen bleken relatief vaak verbinding te maken met deze domeinen.

Razendsnel gewapend

Wat de aanpak extra riskant maakt, is de snelheid waarmee overgenomen domeinen worden ingezet. Volgens de onderzoekers gaat 24 procent van de domeinen al op de dag van registratie live voor kwaadaardige doeleinden, 76 procent binnen een week en 94 procent binnen twee weken. De reputatie en het bestaande verkeer worden dus vrijwel direct te gelde gemaakt.

Een andere geobserveerde groep, Shady Squirrel, koppelde overgenomen domeinen aan SocGholish, de beruchte "fake update"-infrastructuur die eerder dit jaar doelwit was van internationale opsporingsactie Operation Endgame.

Onderzoekers van de University of Birmingham en Durham University tonen een aanval waarmee de beveiliging van Windows 11 via software wordt omzeild.

De aanval, genaamd 'Download More RAM', misbruikt een onbeschermde configuratiechip op sommige DDR4- en DDR5-modules.

Vervalste geheugenconfiguratie

De kern van het probleem zit in de Serial Presence Detect (SPD): configuratiegegevens op een RAM-module die aangeven hoeveel geheugen erop zit en met welke snelheid het werkt. Op geheugenmodules waarvan de SPD-chip niet beveiligd is tegen schrijftoegang, kan software met lokale beheerdersrechten die gegevens aanpassen. Windows gaat er vervolgens ten onrechte van uit dat er tot twee keer zoveel RAM aanwezig is dan in werkelijkheid het geval is.

Dat leidt tot memory aliasing: twee verschillende geheugenadressen die Windows als apart beschouwt, wijzen in werkelijkheid naar dezelfde fysieke RAM. Normaal gesproken zou dit het systeem laten crashen, maar de onderzoekers ontdekten dat via bepaalde opstartinstellingen het gealiaste geheugengebied gereserveerd kon worden, waardoor Windows stabiel blijft terwijl een aanvaller alsnog toegang houdt tot datzelfde fysieke geheugen via een ander adres. Zo kunnen fundamentele Windows-beveiligingslagen als Virtualization-Based Security (VBS) worden ondermijnd, ondanks dat deze juist bedoeld zijn om processen strikt van elkaar te isoleren.

Het kat-en-muisspel tussen opsporingsdiensten en cybercriminelen heeft een verontrustende wending genomen. Uit een recent rapport van Microsoft Threat Intelligence, gepubliceerd op 10 augustus 2026, blijkt dat de beruchte ransomwarebende DeadLock is overgestapt op gedecentraliseerde blockchaintechnologie.

Het doel? Hun communicatiekanalen en 'leak-sites' volledig immuun maken voor takedowns door de politie.

Traditioneel opereerden ransomwaregroepen via het darkweb (Tor) of zogenoemde bulletproof hosting. Hoewel anoniem, bleven deze centrale servers en domeinen kwetsbaar voor internationale politieacties. DeadLock breekt nu met dit model. Door hun eisen, gestolen data en onderhandelingsplatforms te hosten op gedecentraliseerde netwerken, verdwijnt het traditionele 'single point of failure'. Er is simpelweg geen centrale server meer om in beslag te nemen of een domein om uit de lucht te halen.

Voor cybersecurity-experts is dit een nachtscenario. Blockchain-gebaseerde opslag betekent dat data wordt gefragmenteerd en verspreid over duizenden nodes wereldwijd. Zelfs als Europol of de FBI erin slaagt één node offline te halen, blijft de leak-site van DeadLock gewoon online. Het maakt de infrastructuur van de criminelen in de praktijk onverwoestbaar.

Zeventig procent van de bekendste reiswebsites in Nederland heeft de basis van hun e-mailbeveiliging niet optimaal ingericht, waardoor vakantiegangers een verhoogd risico lopen op phishing en e-mailfraude. Dat blijkt uit onderzoek van cybersecuritybedrijf Proofpoint naar DMARC-adoptie onder de top twintig Nederlandse reisportals, uitgevoerd in juni 2026.

DMARC (Domain-based Message Authentication, Reporting and Conformance) is een e-mailvalidatieprotocol dat de identiteit van een afzender controleert voordat een bericht de inbox bereikt. Het protocol kent drie beschermingsniveaus: monitoren, in quarantaine plaatsen en afwijzen. Alleen afwijzing blokkeert verdachte e-mails daadwerkelijk voordat ze de ontvanger bereiken.

Van de onderzochte reiswebsites heeft 85% inmiddels een basis DMARC-record gepubliceerd. Slechts 30% daarvan heeft het beleid doorgetrokken naar het strengste niveau, afwijzing. Dat betekent dat 70% van de bekendste reismerken hun klanten, medewerkers en partners kwetsbaar houdt voor imitatie-e-mails. Het cijfer is wel een verbetering ten opzichte van vorig jaar, toen 80% tekortschoot en slechts 20% het afwijzingsbeleid had ingesteld.

Google waarschuwt voor een groep cybercriminelen die medewerkers van bedrijven telefonisch benadert en daarbij het telefoonnummer van de eigen IT-helpdesk vervalst. Door deze zogeheten vishing-aanvallen (voice phishing) overtuigender te maken, weten de daders toegang te krijgen tot bedrijfsnetwerken en cloudomgevingen. Dat meldt het Google Threat Intelligence Group in een analyse van de groep, die wordt aangeduid als UNC6671.

Nepverhaal over verplichte beveiligingsupdate

Bij de aanvallen bellen de criminelen medewerkers, vaak op hun privételefoon, met het verhaal dat er dringend een beveiligingsmigratie moet worden doorgevoerd, bijvoorbeeld het instellen van een passkey of het vernieuwen van de tweestapsverificatie. Om geloofwaardig over te komen, spoofen ze het nummer van de helpdesk. Het slachtoffer wordt vervolgens doorverwezen naar een neppe inlogpagina die lijkt op een officieel bedrijfsportaal. Via deze pagina onderscheppen de aanvallers wachtwoorden én tweefactorcodes met zogeheten adversary-in-the-middle-technieken, waarna ze zich toegang verschaffen tot omgevingen als Microsoft 365 en Okta om gegevens te stelen.