Slachtofferanalyse en Trends van Week 03-2025

Deze podcast is AI-gegeneerd. (Engels)

Deze week (13-01-2025 t/m 19-01-2025) was opnieuw turbulent op het gebied van cybercriminaliteit en datalekken. Organisaties in verschillende sectoren wereldwijd kregen te maken met ransomware, phishingaanvallen en DDoS-aanvallen. Ook in Nederland en België dook gevoelige bedrijfs- en klantinformatie op op het darkweb. In dit artikel vatten we de belangrijkste gebeurtenissen samen in vier blokken, met elk hun eigen focus. Het doel is om een duidelijk beeld te geven van de actuele dreigingen, de impact daarvan en wat bedrijven en consumenten kunnen doen om zich te weren.

Ransomware in de hoofdrol

Ransomwaregroepen blijven hun greep op organisaties wereldwijd verstevigen. De afgelopen week werd de lijst met slachtoffers opnieuw langer, variërend van middelgrote ondernemingen tot overheidsinstellingen. De meest opvallende gevallen vinden we in uiteenlopende sectoren, waaronder de gezondheidszorg, het onderwijs, de juridische sector en de bouw. Elke aanval heeft eigen kenmerken, maar de gemene deler is het versleutelen van bedrijfsdata en het dreigen met publicatie van die data als er geen losgeld wordt betaald.

Wereldwijde ransomware-aanvallen
Uit gelekte informatie blijkt dat minstens tientallen organisaties slachtoffer zijn geworden van verschillende ransomwarevarianten, zoals LockBit 3.0, Funksec, Lynx, Ransomhub, Akira en Incransom. Een greep uit de incidenten:

• Musicians Institute (VS) werd getroffen door Ransomhub-ransomware, waardoor cruciale bestanden rondom studentenadministratie en lessen tijdelijk onbereikbaar waren.
• SERGAS Group (Verenigde Arabische Emiraten) liep tegen een Lynx-ransomware-aanval aan, waardoor operationele processen stil kwamen te liggen.
• In de hotelsector werd OYO Las Vegas Hotel and Casino aangevallen door LockBit 3.0, met als gevolg dat zowel interne als klantgerichte systemen beperkt beschikbaar waren.
• Spectrum Medical Imaging (Australië) werd getroffen door Incransom, wat verregaande consequenties heeft voor patiëntendossiers en het medisch personeel.

Kenmerken van de aanvallen

• LockBit 3.0 is bekend om zijn snelle encryptie en de mogelijkheid om tegelijkertijd datadiefstal te plegen. De groep achter LockBit 3.0 staat erom bekend onder hoge druk losgeld te eisen, waarbij ze dreigen gevoelige data op het darkweb te verspreiden.
• Funksec richt zich vaak op systemen die niet up-to-date zijn en maakt veelvuldig misbruik van misconfiguraties in Remote Desktop Protocol (RDP).
• Lynx lijkt de laatste tijd aan populariteit te winnen onder cybercriminelen. De aanvallen zijn divers: van bouwbedrijven (Nash Brothers Construction, Australie’s Novati Constructions) tot juridische kantoren (FisherBroyles) en financiële ondernemingen.
• Ransomhub en Akira maken geregeld gebruik van phishingmails of social-engineeringtactieken om binnendringen in systemen te vergemakkelijken. Eenmaal binnen breiden zij hun rechten uit en versleutelen zij kritieke bestanden.

Impact voor bedrijf en klant
Een ransomware-infectie ontwricht niet alleen de organisatie zelf maar ook de keten van partners, klanten en leveranciers. Bij grootschalige aanvallen gaan soms duizenden vertrouwelijke documenten op straat, waardoor identiteitsfraude en reputatieschade op de loer liggen. Voor ziekenhuizen en zorginstellingen kan ransomware direct patiënten in gevaar brengen, omdat uitval van IT-systemen de zorgcontinuïteit belemmert. Het herstellen van systemen, het forensisch onderzoek en de mogelijke schadevergoedingen na een aanval kunnen resulteren in miljoenenschade.

Lessen en tips

• Voer frequent updates en patches uit op alle bedrijfssystemen. Verouderde software biedt cybercriminelen een gemakkelijke ingang.
• Pas strikte toegangscontroles toe en implementeer multifactorauthenticatie (MFA). Hiermee wordt laterale beweging voor aanvallers aanzienlijk moeilijker.
• Maak regelmatig offline back-ups en test of deze écht herstelbaar zijn. In geval van ransomware kan dit het verschil maken tussen snel herstel of volledig verlies van data.

Datalekken en darkweb-verkoop in nederland en belgië

Naast wereldwijde ransomwarecampagnes zijn er in Nederland en België concrete voorvallen die de urgentie van goede cybersecurity onderstrepen. Deze voorvallen variëren van het verkopen van Remote Desktop Protocol-toegang tot gevoelige bedrijfsnetwerken tot het uitlekken van klantgegevens op forumplatforms.

Verkoop rdp-toegang bij een nederlands mediabedrijf
Een zeer opvallende gebeurtenis is het online aanbieden van RDP-toegang tot een Nederlands mediabedrijf voor 5 miljoen dollar. De verkoper, met de naam “CeFarir0ne”, beweert lokale beheerderstoegang te hebben, waardoor potentiële kopers honderd accounts kunnen benaderen. De verkoper noemt specifiek dat het bedrijf zich richt op media en internet, met ongeveer 150 werknemers. Het gebruik van Windows Defender wordt daarbij benadrukt als mogelijk zwak punt. Deze situatie laat zien hoe cybercriminelen op het darkweb directe toegang tot complete netwerken in de etalage kunnen zetten, wat organisaties extreem kwetsbaar maakt voor sabotage, gegevensdiefstal of het uitvoeren van ransomware.

Datalekken in het gezondheidsspectrum

• Podotherapie Hermanns meldde een lek waarbij persoons- en zorgverzekeringsgegevens, zoals burgerservicenummers, zijn gestolen. Dit soort lekken is gevaarlijk omdat het gevoelige data betreft die kan worden misbruikt voor identiteitsfraude.
• Verschillende ziekenhuizen en zorginstanties in Nederland en België kampten de afgelopen maanden met soortgelijke incidenten. Doordat medische data een hoge marktwaarde heeft op het darkweb, blijft de zorgsector een primair doelwit.

Burger king belgië en telenet

• Burger King België blijkt 47 klantaccounts van hun “Points+” loyaliteitsprogramma te hebben gelekt. Hoewel 47 op het eerste gezicht geen groot aantal lijkt, kan de daarin vervatte informatie (zoals betaalgegevens) behoorlijk schadelijk zijn voor de betrokken personen.
• Telenet rapporteerde een datalek waarbij e-mailadressen en wachtwoorden van klanten zijn onderschept. De gelekte data werd online verspreid, wat direct verhoogt dat Telenet-klanten slachtoffer worden van ‘credential stuffing’: criminelen proberen dezelfde inloggegevens op andere platforms.

Ddos-aanvallen op onderwijs en overheid
Zoals eerder vermeld, kregen universiteiten en overheidsinstanties te maken met DDoS-aanvallen. In Nederland ondervonden onder meer de Universiteit Maastricht, Tilburg University en de Universiteit Utrecht hinder. DigiD, het platform voor digitale identificatie bij de overheid, ging eveneens herhaaldelijk offline door omvangrijke DDoS-aanvallen. Hierdoor konden burgers tijdelijk geen toegang krijgen tot overheidsportalen, wat de afhankelijkheid van digitale diensten pijnlijk duidelijk maakt.

Onderwijsinstellingen onder vuur
De Technische Universiteit Eindhoven (TU/e) werd zwaarder getroffen dan enkel DDoS: deze instelling besloot haar netwerk deels offline te halen en onderwijsactiviteiten uit te stellen om verdere verspreiding van malware te voorkomen. Hoewel men nog geen concrete aanwijzingen heeft voor datadiefstal, bevestigt de TU/e dat de inzet van externe cybersecurity-experts nodig is om de infrastructuur te herstellen en te onderzoeken of er mogelijk aanvallers in hun systemen zijn achtergebleven.

Internationale cyberdreigingen en trends

Buiten de landsgrenzen zijn er nog meer ontwikkelingen die ook voor Nederlandse en Belgische organisaties relevant zijn. Het landschap van cyberdreigingen blijft evolueren, met steeds meer geavanceerde technieken en nieuwe malwarevarianten.

Phishing en apt-groepen

• iMessage-gebruikers worden misleid door phishinglinks die de ingebouwde beveiliging omzeilen en het slachtoffer overtuigen om delen van hun beveiligingssoftware uit te schakelen.
• De RedCurl APT-groep blijft multinationals bespioneren, gericht op het stelen van intellectueel eigendom en vertrouwelijke informatie.
• Een nieuwe phishingcampagne misbruikt YouTube-links en Microsoft 365-thema’s om slachtoffers naar nagemaakte inlogpagina’s te leiden. Het gebruik van bekende platforms en thema’s vergroot de geloofwaardigheid van zulke aanvallen aanzienlijk.

Datahandel en privacykwesties

• Scholastic lekte persoonlijke informatie van maar liefst 4,2 miljoen mensen. Het gaat om adressen, namen en mogelijk ook financiële gegevens.
• Datasys, een datahandelaar, verkocht locatiegegevens van miljoenen app-gebruikers, waaronder gebruikers van de populaire Nederlandse app Buienalarm. Bij zulke datalekken is het voor kwaadwillenden niet alleen mogelijk om marketingprofielen op te bouwen, maar ook om mensen te volgen of zelfs te chanteren.
• De Europese markt wordt geconfronteerd met steeds meer meldingen van grote datalekken; een recent voorbeeld is een hotelketen die persoonlijke en financiële data van gasten onbedoeld blootgaf. De roep om strengere privacywetgeving en hogere boetes voor nalatige organisaties klinkt dan ook steeds luider.

Opkomst van nieuwe malware

• HexaLocker V2 introduceert geavanceerde aanvalstechnieken, zoals het versleutelen van back-upsystemen en het aantasten van cloudopslag. Het gevolg is dat organisaties niet langer kunnen terugvallen op hun back-ups, hetgeen de druk om losgeld te betalen vergroot.
• Infostealer-malware richt zich op het roven van inloggegevens en andere persoonlijke informatie. Vaak worden deze gegevens in bulk verhandeld op internet.
• Een kritieke kwetsbaarheid in Aviatrix Controller wordt actief gebruikt voor het uitvoeren van cyberaanvallen, vooral in cloudomgevingen waar veel verkeer via virtuele netwerken loopt.

Wereldwijde beveiligingsmaatregelen

• De CISA (Cybersecurity and Infrastructure Security Agency) in de VS eist het dringend patchen van bekende kwetsbaarheden in BeyondTrust en Fortinet. Inmiddels zijn deze bugs al in het wild misbruikt.
• Verschillende overheden, waaronder die van de VS en het VK, overwegen nieuwe wetgeving die het betalen van losgeld bij ransomwareaanvallen verbiedt, althans voor publieke sectoren.
• De EU kondigt actieplannen aan om ziekenhuizen beter te wapenen tegen cyberdreigingen. De recente golf van aanvallen op zorginstellingen bewijst immers de noodzaak van strengere richtlijnen en controlemechanismen.

Lessen en vooruitblik

De gebeurtenissen van deze week laten zien dat cybercriminaliteit een blijvend risico is waar elke organisatie, groot of klein, mee te maken kan krijgen. De variatie in methoden – van phishing en ransomware tot de verkoop van RDP-toegang en DDoS – benadrukt dat cyberaanvallers meerdere paden bewandelen om bij hun doel te komen. Hier volgen enkele belangrijke inzichten voor de nabije toekomst.

Belang van mfa en segmentatie
Organisaties die hun medewerkers verplichten om multifactorauthenticatie te gebruiken, verkleinen het risico op ongeautoriseerde toegang aanzienlijk. Wanneer een kwaadwillende een wachtwoord weet te bemachtigen, blokkeert de tweede factor (bijvoorbeeld een authenticator-app) vaak verdere voortgang. Ook is het aan te raden om het netwerk te segmenteren, zodat een eventuele inbreuk zich niet kan verspreiden naar alle bedrijfssystemen.

Strategisch gebruik van de cloud
Zoals uit meerdere incidenten blijkt, maken organisaties steeds meer gebruik van clouddiensten. Dit kan de beveiliging verbeteren, mits er strenge controles en goed beleid zijn. Zonder een gedegen risicoanalyse kunnen cloudproviders echter ook een zwakke plek vormen. De Nederlandse overheid heeft van de Algemene Rekenkamer de waarschuwing gekregen dat de beveiligingsrisico’s van cloudgebruik te vaak worden onderschat. Het verplaatsen van kritieke data naar de servers van grote, vaak buitenlandse techbedrijven kan leiden tot ongewenste toegang door buitenlandse overheden en andere risico’s.

Bewustwording en training
Menselijk gedrag blijft een van de zwakste schakels in de keten. Of het nu gaat om phishingmails, malafide bestanden of social engineering via telefonische gesprekken, elke medewerker kan een potentieel doelwit zijn. Regelmatige bewustwordingstraining, gecombineerd met testscenario’s en duidelijke protocollen, is essentieel om de kans op een geslaagde aanval te minimaliseren.

Het belang van transparantie
In het geval van een lek of aanval is snelle communicatie naar klanten, medewerkers en relevante toezichthouders cruciaal. Organisaties die open en eerlijk zijn over de aard van de schade en de stappen die genomen worden, genieten meer vertrouwen dan partijen die incidenten in de doofpot proberen te stoppen. Dit vertrouwen kan achteraf een belangrijk wapen blijken in het behouden van klantloyaliteit. Bovendien is in de EU, door de AVG-wetgeving, melding van ernstige datalekken verplicht binnen 72 uur na ontdekking.

Vooruitzicht

• De komende maanden valt meer wetgeving rondom cybersecurity te verwachten, zowel in Europa als in de VS. Voortdurend zijn er discussies over de verplichting van MFA, strengere rapportageplicht bij datalekken en de verantwoordelijkheid van cloudproviders.
• Ransomware-aanvallen zullen naar verwachting doorgaan en zich verder ontwikkelen, waarbij criminelen multilaagse strategieën hanteren: het versleutelen van data én het exfiltreren voor afpersing.
• Phishingcampagnes worden geavanceerder. Het gebruik van AI-gegenereerde teksten en convincende e-mails of chats zal toenemen, evenals het misbruik van vertrouwde platformen (zoals YouTube, LinkedIn of Microsoft 365) om slachtoffers te lokken.
• Overheidsinstellingen en onderwijsorganisaties blijven een populair doelwit omdat zij vaak veel persoonsgegevens beheren en kwetsbaar zijn voor verstoring.

Het totale dreigingsbeeld laat zich kenmerken door professionalisering aan de criminele kant en een toenemende druk op organisaties om hun beveiliging naar een hoger plan te tillen. Ook particulieren dienen alert te blijven: persoonlijke data, van burgerservicenummers tot locatiegegevens en medische dossiers, kan eenvoudig verhandeld worden in duistere uithoeken van het internet.

Ontdek meer over cybercrime en het darkweb in onze uitgebreide bibliotheek. Voor een gestructureerd overzicht van relevante onderwerpen kun je terecht op onze onderwerpenpagina, waar je een alfabetisch gerangschikte lijst vindt.

👉 Klik hier voor een gedetailleerd overzicht van week 03-2025.

Wekelijks overzicht: Bedrijven met data op het darkweb

Elke week worden er bedrijven slachtoffer van cybercriminelen die hun gestolen data openbaar maken op het darkweb. Dit wekelijkse overzicht geeft inzicht in de bedrijven waarvan de gegevens de afgelopen week op deze illegale marktplaatsen zijn verschenen. Hieronder vindt u de bedrijven die recentelijk getroffen zijn door deze ernstige cyberdreiging.