CYBERSECURITY

Samenvatting TL;DR: Ransomware-groepen stalen in een jaar 896,2 terabyte aan data. De hoeveelheid gestolen data steeg met meer dan 275 procent. Het aantal slachtoffers op leaksites daalde juist met 3 procent. Blockchaintransacties voor ransomware-betalingen kwamen uit op 328 miljoen dollar. Dat blijkt uit het ThreatLabz 2026 Ransomware Report van Zscaler.

Wat zegt het rapport?

Zscaler ThreatLabz publiceerde het rapport onlangs. Het volgt de activiteit van grote ransomwaregroepen. De gegevens komen vooral van leaksites en blockchaintransacties. Leaksites zijn websites waar criminelen gestolen data publiceren.

Is het aantal ransomware-aanvallen met 275 procent gestegen?

Nee. De stijging van 275 procent gaat over gestolen data. Het aantal slachtoffers op leaksites daalde met 3 procent. Sommige media schreven dat het aantal aanvallen met 275 procent steeg. De formulering in het persbericht van Zscaler kan verwarring geven.

Hoeveel is 900 terabyte?

Ransomwaregroepen stalen 896,2 terabyte aan data. Zscaler noemt dat 90 keer de printcollectie van de Library of Congress. Afpersing verschuift volgens Zscaler van versleutelen naar datadiefstal. Die aanvallen zijn minder zichtbaar, maar wel schadelijk.

Hoeveel losgeld is betaald?

Het rapport telt 328 miljoen dollar aan blockchaintransacties. Dat zijn transacties die aan ransomware-betalingen zijn gekoppeld. Het gemiddelde losgeld steeg met 5,3 procent naar 431.995 dollar.

Hoe verhoudt dit zich tot andere cijfers?

Andere onderzoekers komen op andere bedragen uit. Chainalysis verwacht over 2025 uiteindelijk zo'n 900 miljoen dollar of meer. Chainalysis zag het aandeel betalende slachtoffers dalen tot 28 procent. Het meetjaar en de methode verschillen. De cijfers zijn dus niet rechtstreeks vergelijkbaar.

Wie zijn de doelwitten?

In 62 procent van de gevallen mikken aanvallers op leidinggevenden. Ze richten zich ook op medewerkers met bevoorrechte rollen. Het doel is intellectueel eigendom, klantgegevens en andere gevoelige data. Die data gebruiken ze om betaling af te dwingen.

Hoe dringen aanvallers binnen?

Aanvallers misbruiken alledaagse werkprogramma's. Ze gebruiken Microsoft Teams en de tool Quick Assist. Zo misleiden ze medewerkers. Daarna bewegen ze zich door interne systemen. Ze stelen en versleutelen daar data.

Welke sectoren worden geraakt?

Nutsbedrijven zagen de sterkste stijging. Het aantal slachtoffers steeg met 622 procent naar 65. Een jaar eerder waren dat er 10. Bij overheid, zorg en onderwijs daalde het aantal aanvallen. Toch groeide de omvang van individuele datadiefstallen. Zscaler ziet minder campagnes, maar grotere schade per aanval.

Wat kunnen organisaties doen?

Op basis van deze bevindingen zijn dit logische stappen:

Train medewerkers op misleiding via Teams en Quick Assist.

Beperk of blokkeer Quick Assist als het niet nodig is.

Bescherm accounts met bevoorrechte rechten extra goed.

Let op grote dataverplaatsingen naar buiten.

Oefen een scenario voor datadiefstal, niet alleen voor versleuteling.

Wat is nog onduidelijk?

Hoe groot het werkelijke aantal aanvallen is, want leaksites tonen maar een deel

Hoeveel Nederlandse organisaties zijn getroffen

Hoe de bedragen zich verhouden tot andere onderzoeken

Veelgestelde vragen

Is het aantal ransomware-aanvallen met 275 procent gestegen?
Nee. De hoeveelheid gestolen data steeg met meer dan 275 procent. Het aantal slachtoffers op leaksites daalde met 3 procent.

Hoeveel data hebben ransomwaregroepen gestolen?
896,2 terabyte, volgens Zscaler. Dat is meer dan 275 procent meer dan een jaar eerder.

Hoeveel losgeld is er betaald?
Het rapport telt 328 miljoen dollar aan blockchaintransacties die aan ransomware-betalingen zijn gekoppeld. Het gemiddelde losgeld was 431.995 dollar.

Over welke periode gaat het rapport?
Over april 2025 tot en met maart 2026.

Wie zijn de belangrijkste doelwitten?
Leidinggevenden en medewerkers met bevoorrechte rollen. Dat gold voor 62 procent van de aanvallen.

--------------------------------------------------------------------------------------------------------------------------------------------------

Bronnen

Zscaler ThreatLabz 2026 Ransomware Report (persbericht en blog van Zscaler), The Elec, ITdaily, ICTMagazine (Chainalysis).

Samenvatting TL;DR: Kritieke infrastructuurorganisaties in Portugees- en Spaanstalige landen, waaronder Spanje en Portugal, zijn momenteel het doelwit van een gerichte aanvalscampagne door een vermoedelijk Chinese hackersgroep. De aanvallers maken gebruik van een ransomware-variant genaamd Warlock om systemen te versleutelen en de dienstverlening te verstoren. De aanvalscampagne, die kenmerken vertoont van een Advanced Persistent Threat (APT)-groep, onderscheidt zich door een geavanceerde en snelle operatie.

Gericht op vitale sectoren en overheden

Onder de slachtoffers bevinden zich operators van kritieke infrastructuur, zoals een waterbedrijf en een telecomprovider. Daarnaast zijn ook een regionaal overheidsorgaan en een universiteit getroffen. Deze keuze voor doelwitten benadrukt het potentiële gevaar voor de nationale veiligheid en de dagelijkse dienstverlening in de getroffen regio's.

Kwetsbaarheden in SharePoint als toegangspoort

De hackersgroep verkrijgt initiële toegang door misbruik te maken van kwetsbaarheden in lokale installaties van Microsoft SharePoint Server. Na deze inbreuk maken de aanvallers gebruik van technieken om beveiligingssoftware uit te schakelen voordat ze de Warlock-ransomware activeren. Ze misbruiken onder meer legitieme software, zoals Visual Studio Code, en kwetsbare, digitaal ondertekende stuurprogramma's om beveiligingsprocessen op kernelniveau te beëindigen. Deze 'bring-your-own-vulnerable-driver' (BYOVD)-techniek maakt het uiterst moeilijk voor traditionele beveiligingsoplossingen om de aanval te stoppen.

Snelle implementatie en verhulling

Zodra de beveiliging is uitgeschakeld, bewegen de aanvallers zich razendsnel. In één gedocumenteerd geval slaagden ze erin om binnen twee uur beveiligingssoftware op ten minste 40 hosts uit te schakelen en vervolgens op 33 daarvan de ransomware te activeren. Om detectie te omzeilen en hun netwerkverkeer te verhullen, maken ze gebruik van legitieme clouddiensten voor het downloaden van aanvullende payloads en voor commando-en-controlecommunicatie.

--------------------------------------------------------------------------------------------------------------------------------------------------

Bronvermelding

"Chinese ransomware group Warlock targets Spanish- and Portuguese-speaking countries." SC Media. 2 oktober 2026. "Warlock-ransomware treft kritieke organisaties via SharePoint." Checkon Blog. 2 oktober 2026. "Warlock Ransomware Attackers Hit Water and Telecom Operators." Security.com. 1 oktober 2026. "Warlock Ransomware Still Exploits Year-Old SharePoint Flaws to Hit Critical Infrastructure." Security Affairs. 4 oktober 2026.

Cybercriminelen laten grootschalige, ongerichte malwarecampagnes steeds vaker links liggen ten gunste van gerichtere aanvallen. Daarbij spelen kunstmatige intelligentie, automatisering en gestolen inloggegevens een steeds grotere rol, zo blijkt uit recente ontwikkelingen in het dreigingslandschap.

Van breed uitgezette netten naar precisieslagen

Waar aanvallers traditioneel massaal phishingmails en malware verspreidden in de hoop dat een klein percentage slachtoffers zou toehappen, verschuift de focus nu naar zorgvuldig geselecteerde doelwitten. Deze aanpak levert minder, maar effectievere aanvallen op, met een hoger slagingspercentage en vaak grotere buit per incident. Organisaties met waardevolle data of diepe zakken, zoals bedrijven, zorginstellingen en overheden, staan daardoor prominenter in het vizier.

Kunstmatige intelligentie als versneller

AI speelt een steeds grotere rol bij het opzetten van deze aanvallen. Taalmodellen maken het mogelijk om overtuigende phishingberichten te schrijven, zonder de spel- en grammaticafouten die eerdere campagnes vaak verrieden. Ook wordt AI ingezet om doelwitten te profileren, kwetsbaarheden sneller te identificeren en aanvalsscripts te automatiseren, waardoor criminelen met minder technische kennis toch geavanceerde aanvallen kunnen uitvoeren.

Gestolen inloggegevens als toegangspoort

Daarnaast maken aanvallers massaal gebruik van gestolen inloggegevens, vaak afkomstig uit eerdere datalekken of infostealer-malware, die op ondergrondse marktplaatsen worden verhandeld. Met geldige accountgegevens kunnen criminelen zich voordoen als legitieme gebruikers en systemen binnendringen zonder detectie door traditionele malwarescanners te riskeren.

Gevolgen voor verdediging

Deze verschuiving vraagt om een andere beveiligingsaanpak. Waar antivirussoftware en spamfilters vooral gericht zijn op het herkennen van kwaadaardige bestanden, is bescherming tegen identiteitsdiefstal en gerichte social engineering minstens zo belangrijk geworden. Beveiligingsexperts adviseren daarom multifactorauthenticatie, voortdurende monitoring van accountgedrag en extra waakzaamheid bij ongebruikelijke inlogpogingen, naast traditionele technische beveiligingsmaatregelen.

Oplichters die zich voordoen als politieagenten en federale agenten dreigen slachtoffers met arrestatie tenzij ze betalen, waarschuwt de FBI. Het Internet Crime Complaint Center (IC3) heeft een waarschuwing uit 2022 bijgewerkt. Tussen januari 2025 en juli 2026 ontving het bijna 61.000 klachten over nepverklaringen van wetshandhavers of overheidsfunctionarissen, met een totale schade van meer dan 1,6 miljard dollar.

In de meeste gevallen belt iemand het slachtoffer op en beschuldigt hem of haar van een misdrijf. Daarbij wordt gedreigd met arrestatie, vervolging of gevangenisstraf, tenzij het slachtoffer betaalt om de aanklacht te laten vervallen of mee te werken aan een onderzoek tegen de "echte" criminelen. Anderen krijgen te horen dat ze een oproep voor jurydienst of een zitting hebben gemist, waarna een boete of arrestatiebevel dreigt. Voor deze variant registreerde de FBI 6.833 klachten en bijna 36 miljoen dollar schade.

De oplichters passen hun aanpak aan per doelgroep. Zorgverleners horen dat hun vergunning verloopt of bij een misdrijf is gebruikt. Immigranten, buitenlanders en internationale studenten krijgen te maken met nep-buitenlandse ambtenaren die dreigen met uitlevering of het intrekken van hun paspoort. Sommige daders dragen valse politie-uniformen en gebruiken nagebouwde overheidslocaties. Ook AI wordt ingezet: volgens het IC3 kunnen oplichters zich zo in videogesprekken als functionaris voordoen.

De betaling wordt gevraagd via prepaidkaarten, overschrijvingen, cryptocurrency, contant geld of een koerier.

De FBI benadrukt dat wetshandhavers en overheidsfunctionarissen nooit bellen of sms'en om betaling of persoonlijke gegevens te eisen. Ze vragen ook nooit om betaling via prepaidkaarten, cryptocurrency of een koerier. Wie getroffen is, moet volgens het IC3 direct alle contact verbreken, de bank op de hoogte brengen en aangifte doen bij de lokale politie.

Let op: de link in je bericht verwijst naar een artikel van 21 juli over nep-IC3-agenten die eerdere oplichtingsslachtoffers opnieuw benaderen. Het verhaal dat bij je kop past, is een nieuwer artikel van Help Net Security van vandaag, gebaseerd op de FBI-waarschuwing van 17 september. Daarop heb ik dit stuk gebaseerd.

Het klassieke beeld van de cybercrimineel die met ingewikkelde code door een firewall heen breekt, is definitief achterhaald. "De aanvaller breekt niet meer in, hij logt in," stellen Serena Smolders van Sophos en Stefan Sprenkels van Q-Feeds. De zin vat een fundamentele verschuiving samen: identiteit is de nieuwe voordeur geworden.

Waarom zou een crimineel een beveiligde omgeving kraken als hij ook gewoon kan binnenwandelen met een geldige gebruikersnaam en wachtwoord? Inloggegevens worden verhandeld op ondergrondse marktplaatsen, buitgemaakt via phishing of infostealer-malware, of hergebruikt uit eerdere datalekken. Een aanvaller met legitieme gegevens valt bovendien nauwelijks op. Zijn activiteit lijkt op die van een gewone medewerker, waardoor veel beveiligingsmaatregelen hem niet als bedreiging herkennen.

Dat maakt klassieke perimeterbeveiliging minder effectief. Door cloudapplicaties, thuiswerken en leveranciers met toegang tot systemen bestaat de grens tussen 'binnen' en 'buiten' nauwelijks meer. Wie eenmaal binnen is, kan zich vaak ongemerkt door het netwerk bewegen, rechten uitbreiden en pas toeslaan wanneer het hem het beste uitkomt, bijvoorbeeld met ransomware.

Voor organisaties vraagt dit om een andere focus. Multifactorauthenticatie is een basisvereiste, maar geen wondermiddel: phishing die sessiecookies onderschept of het bestoken van gebruikers met goedkeuringsverzoeken kan ook die bescherming omzeilen. Daarom wordt het herkennen van afwijkend gedrag belangrijker, zoals een medewerker die midden in de nacht vanuit het buitenland inlogt of een account dat plotseling grote hoeveelheden data opvraagt. Ook dreigingsinformatie over gelekte inloggegevens helpt om misbruik voor te zijn.

De boodschap is helder: beveiliging begint niet meer bij de muur, maar bij de vraag wie er eigenlijk binnenkomt, en of die persoon wel is wie hij zegt te zijn.

Meerdere landen hebben juridische stappen en sancties ingezet nadat een rapport het illegale IT-werkersprogramma van Noord-Korea en het netwerk van lokale helpers blootlegde. Het rapport verscheen afgelopen woensdag van het Multilateral Sanctions Monitoring Team (MSMT), een door de VS geleid internationaal comité dat toeziet op de naleving van VN-sancties tegen Noord-Korea.

Volgens het rapport hebben Vietnam, Laos, Pakistan en Argentinië sinds juli betekenisvolle stappen gezet naar aanleiding van beschuldigingen uit een eerdere studie van oktober.

In Argentinië is een onderzoek geopend naar Antonia Doroganova, die verdacht wordt van het witwassen van inkomsten van Noord-Koreaanse IT-werkers via diverse betaalrekeningen. Het land bevroor ook enkele tegoeden. Pakistan startte een rechtszaak tegen Syeda Aliya Batool Zaidi, een vermeende vervalser die de werkers van valse identiteitsbewijzen voorzag. Het Pakistaanse federale opsporingsbureau FIA onderzoekt haar en twee andere verdachten, Syed Sohail Mehdi en Syed Kazim.

In Vietnam en Laos sanctioneerden de VS in maart meerdere bedrijven en personen die eerder door VN-onderzoekers waren genoemd. Zij hielpen Noord-Koreanen bij het openen van lokale bankrekeningen en het witwassen van hun inkomsten. Door het toegenomen toezicht moest Noord-Korea zijn IT-werkers uit hoofdstad Vientiane verplaatsen naar de provinciestad Vang Vieng. Laos meldt een nationale commissie te hebben opgericht om het schema te onderzoeken. Ook China verscherpte het toezicht op de werkers en beperkte hun bewegingsvrijheid.

De maatregelen komen niet uit het niets. Verschillende VN-resoluties eisten dat alle Noord-Koreaanse onderdanen uiterlijk 2019 zouden terugkeren en verboden Noord-Koreanen inkomsten te verwerven in VN-lidstaten. Toch blijven minstens zeventien landen circa 100.000 Noord-Koreanen huisvesten, het merendeel in China en Rusland. Volgens het rapport van vorig najaar zijn meer dan veertig landen getroffen door IT-werkerfraude of crypto-diefstallen, die samen het wapenprogramma van Pyongyang financieren.

Neo4j heeft GraphAware Financial Crime Intelligence op de markt gebracht, een oplossing waarmee banken en verzekeraars financiële criminaliteit sneller kunnen opsporen en onderzoeken.

Het gaat om de eerste mijlpaal voor Neo4j sinds het bedrijf in augustus 2026 de overname van GraphAware afrondde. Toen de overname in juni werd aangekondigd, positioneerde Neo4j GraphAware's Hume-software als alternatief voor overheidsinstanties tegenover Palantir's Gotham-platform; het nieuwe product richt dezelfde graaftechnologie nu op de private sector.

De timing is niet toevallig. Fraude is wereldwijd een van de meest voorkomende misdrijven, na inbraak, en consumentenfraude kostte in 2025 volgens de OESO zo'n 442 miljard dollar. Interpol meldde bovendien ruim 5.800 arrestaties in 97 landen na één wereldwijde fraude-operatie in juli 2026, waarbij 293 miljoen dollar werd onderschept. Tegelijk verscherpen toezichthouders zoals de Amerikaanse FinCEN de compliance-eisen voor financiële instellingen, met mogelijk hogere boetes tot gevolg.

GraphAware Financial Crime Intelligence bouwt voort op de kern van graafdatabases: relaties tussen data worden native opgeslagen in plaats van achteraf via joins tussen tabellen afgeleid. Dat stelt analisten en onderzoekers in staat om voorheen gescheiden databronnen te koppelen, bredere context rond verdachte activiteiten op te bouwen en patronen te volgen via meerstaps-verbindingen tussen entiteiten, transacties, systemen en relaties. Michael Down, wereldwijd hoofd financiële oplossingen bij Neo4j, benadrukt dat elke vorm van fraude in feite een netwerk vormt waarin patronen verscholen zitten in bestaande data.

Neo4j levert al fraude- en compliance-oplossingen aan grote financiële instellingen zoals BNP Paribas, UBS en Zurich, en werkt met fintechs als Klarna aan AI-toepassingen. Met de nieuwe oplossing biedt het bedrijf voortaan de volledige cyclus van detectie, onderzoek en preventie op één graafgebaseerd platform aan.

Android-gebruikers moeten alert zijn op een nieuwe en bijzonder agressieve vorm van malware: Mantax Otax. De dreiging combineert eigenschappen van ransomware en spyware. Daardoor kunnen slachtoffers niet alleen de toegang tot hun toestel verliezen, maar lopen zij ook het risico dat persoonlijke en gevoelige gegevens worden buitgemaakt.

Volgens berichtgeving van BleepingComputer verspreidt Mantax Otax zich voornamelijk via onofficiële APK-bestanden. Dat zijn Android-installatiebestanden die buiten de officiële Google Play Store worden aangeboden. Gebruikers die apps downloaden via onbekende websites, alternatieve appwinkels of links in berichten lopen daardoor een groter risico.

Eenmaal geïnstalleerd kan de malware ingrijpende controle over een Android-apparaat proberen te krijgen. Zo kan het toestel worden vergrendeld en kan de aanvaller het slachtoffer onder druk zetten. Tegelijkertijd heeft de malware spyware-achtige mogelijkheden, waarmee informatie van het apparaat kan worden verzameld. Daarmee vormt Mantax Otax een dubbel gevaar: de gebruiker kan zowel zijn toestel als zijn privacy kwijtraken.

De verspreidingsmethode onderstreept opnieuw het belang van voorzichtigheid met zogenaamde sideloading. Een APK die gratis toegang belooft tot een populaire betaalde app, game of streamingdienst kan aantrekkelijk lijken, maar kan in werkelijkheid malware bevatten.

Android-gebruikers doen er daarom verstandig aan apps zoveel mogelijk via officiële kanalen te installeren en terughoudend te zijn met onbekende APK-bestanden. Ook is het belangrijk om het besturingssysteem en beveiligingsupdates actueel te houden en extra alert te zijn op onverwachte meldingen over toegangsrechten.

Mantax Otax laat zien hoe cybercriminelen verschillende aanvalstechnieken steeds vaker combineren. Waar ransomware traditioneel vooral bestanden versleutelde, kan moderne mobiele malware tegelijkertijd toegang blokkeren, gegevens stelen en slachtoffers intimideren. Voor Android-gebruikers is voorzichtigheid met onbekende apps dan ook geen overbodige luxe, maar een belangrijke eerste verdedigingslinie.