Cybercrime blijft groeien. Uit onderzoek van ManageEngine blijkt dat zeven op de tien Nederlandse organisaties het afgelopen jaar slachtoffer werd van cybercrime. De Autoriteit Persoonsgegevens (AP) waarschuwt in haar jaaroverzicht datalekken 2025 bovendien dat de snelle opmars van AI het risico op phishing en datalekken alleen maar verder vergroot.
Zelden hypergeavanceerde aanvallen
Ook het Hunt & Hackett Trend Report 2026, gebaseerd op ruim 54.000 security-onderzoeken in 2025, is daar helder over: Nederlandse organisaties worden zelden gehackt door hypergeavanceerde aanvallers, maar omdat de basisbeveiliging niet op orde is.
71 procent van alle onderzochte incidenten in 2025 was financieel gemotiveerd, met ransomware (43 procent) en business email compromise (29 procent) als grootste veroorzakers. Achter dat laatste cijfer schuilt vaak niets anders dan een medewerker die, onder tijdsdruk, een betaalverzoek gewoon uitvoert.
Voorbeelden van datalekken door medewerkers
Je komt ze misschien niet dagelijks tegen bij de nationale media, maar één ding is wél zeker: elke maand is Nederland wel weer in de ban van een nieuwe — succesvolle — aanval op een database, cms, of ander intern systeem. Hieronder enkele recente voorbeelden.
1. Gemeente Epe slachtoffer van ClickFix-aanval
En het is een grote misconceptie dat alleen grote organisaties gevaar lopen. Bij de gemeente Epe werd een medewerker via een zogeheten ClickFix-aanval misleid om, zonder dit te beseffen, schadelijke software uit te voeren. Ondanks aanwezige multifactorauthenticatie kwamen de aanvallers toch binnen.
Het gevolg: bijna 552.000 bestanden op een interne server werden buitgemaakt, met daarin persoonsgegevens van vrijwel alle inwoners van de gemeente. Namen, adressen, geboortegegevens en burgerservicenummers lagen op straat, en bij een deel van de betrokkenen ging het ook om bankrekeningnummers en kopieën van identiteitsbewijzen. Kritieke systemen zoals DigiD bleven overigens buiten bereik van de aanvallers.
2. Zelfs de privacywaakhond wordt gehackt
Nog opmerkelijker: begin 2026 werd bekend dat er ook een datalek was bij de Autoriteit Persoonsgegevens zélf. Werkgerelateerde gegevens van medewerkers, zoals namen, zakelijke e-mailadressen en telefoonnummers, werden door onbevoegden ingezien.
Het zegt wat over de scope van hackers. Het is precies de instantie die toezicht houdt op de bescherming van persoonsgegevens. Hoeveel medewerkers precies waren getroffen, moest bij het bekend worden van het lek nog worden onderzocht.
Papier is nog altijd de grootste boosdoener (ja, écht)
Het beeld dat datalekken vooral het werk van hackers zijn, klopt niet met de Nederlandse cijfers. Uit rapportages van de Autoriteit Persoonsgegevens blijkt dat verkeerd geadresseerde post en documenten al jaren de meest gemelde oorzaak van datalekken zijn, ruim vóór cyberaanvallen.
Denk aan een polis die naar de vorige bewoner gaat, of een brief met het verkeerde adres op de envelop. Niet spannend, maar structureel: het gaat om menselijke handelingen met documenten, niet om code.
Onderzoek van beveiligingsbedrijf Msafe onderschrijft precies dat beeld: van alle beveiligingsincidenten zou zo’n 80 procent direct of indirect te herleiden zijn tot handelen van medewerkers, of dat nu gaat om het onzorgvuldig delen van een bestand of het klikken op een phishinglink.
[Advertorial]
De groei van deepfakes
Waar phishing vroeger vaak nog te herkennen was aan kromme zinnen of een net-niet-goed e-mailadres, is dat voor de nieuwste generatie phishing een heel ander verhaal. Neem CEO-fraude met deepfakes. Bij ingenieursbureau Arup maakte een financieel medewerker 25 miljoen dollar over na een videogesprek met wie hij dacht dat de CFO en enkele collega’s waren, nadat hij zelf nog om die videocall had gevraagd ter controle.
Iedereen in dat gesprek bleek achteraf een AI-gegenereerde deepfake. Begin 2026 raakte een Zwitserse ondernemer weken achtereen in gesprek met wat een zakenpartner leek, maar in werkelijkheid een gekloonde stem was; hij maakte uiteindelijk voor meerdere miljoenen Zwitserse frank over voordat het bedrog aan het licht kwam.
Beveiligingsbedrijf McAfee registreerde in 2024 alleen al een stijging van 3.000 procent in het aantal deepfake-fraudegevallen. Forensisch identiteitsbedrijf Regula meet dat inmiddels bijna de helft van alle bedrijven wereldwijd wel eens te maken heeft gehad met audio- of videofraude, een verdubbeling ten opzichte van twee jaar eerder.
Wat kun je doen?
Leer medewerkers om nooit direct op een link te klikken of een bijlage te openen, ook niet als een e-mail of belletje overtuigend overkomt. Ga zelf naar de bekende website, of bel iemand terug op een nummer dat je al had, niet op een nummer dat in het verzoek zelf staat. Benadruk dat het altijd goed is om de IT-afdeling erbij te betrekken, ook al voelt een verzoek dringend aan.
Voor grotere betalingen of ongebruikelijke verzoeken helpt een vast vier-ogen-principe: geen enkele medewerker mag alleen een transactie goedkeuren, hoe overtuigend de stem of het gezicht aan de andere kant ook is. Bouw daarnaast een korte vertraging in bij ongebruikelijke verzoeken. Urgentie is het belangrijkste wapen van een aanvaller, dus tijd is precies waar je tegenwicht kunt bieden.
Lees ook
