Actuele dreiging: zo herken je een cyberaanval en reageer je meteen

Cyberaanvallen worden slimmer en raken organisaties van mkb tot zorg en overheid; lees hoe je vandaag nog waarschuwingssignalen in e-mail, cloud, endpoints en betalingen herkent. Je krijgt concrete first-hour acties om schade te beperken-apparaten isoleren, accounts blokkeren, bewijs veiligstellen en helder communiceren, inclusief meldplichten (AVG, NCSC/CCB, verzekeraar). Tot slot maak je je organisatie blijvend sterker met MFA/passkeys en zero trust, EDR/XDR en SIEM, strak patchen, solide back-ups en realistische oefeningen.

Cyberaanval vandaag: wat speelt er nu

Cyberaanvallen verschuiven razendsnel van grof geweld naar slimme, gerichte tactieken, en je ziet dat terug in alles: ransomware-bendes werken als bedrijven (“Ransomware-as-a-Service”), er is een handel in binnenkompoorten via zogenaamde initial access brokers, en data-afpersing zonder versleuteling neemt toe. Phishing blijft de populairste ingang, maar dan geavanceerder met QR-codes, deepfake-stemmen en misleiding via bedrijfscommunicatiekanalen; BEC (Business Email Compromise) draait om het kapen van e-mail om betalingen om te leiden. Ook DDoS-aanvallen (het platgooien van diensten door enorme hoeveelheden verkeer) worden ingezet als afleiding, terwijl aanvallers intussen data stelen. Inlogbeveiliging staat onder druk door MFA-fatigue (pushmeldingen spammen), cookie- en sessiekaping en misbruik van zwakke of hergebruikte wachtwoorden; passkeys en nummermatching in MFA helpen, maar zijn nog niet overal ingevoerd.

Cloud en SaaS geven nieuwe kansen én nieuwe gaten: verkeerde instellingen, te brede rechten en onbeheerde API-sleutels zijn goud waard voor aanvallers. Supply-chain-aanvallen (via leveranciers, software-updates of beheerders) raken meerdere organisaties tegelijk, wat je vooral merkt bij IT-dienstverleners, gemeenten, onderwijs en zorg. In Nederland en België zijn mkb’s en publieke organisaties regelmatig doelwit omdat basismaatregelen niet consequent zijn doorgevoerd en OT/ICS-omgevingen (operationele technologie) lastig te patchen zijn. Zero-days worden sneller misbruikt, waardoor jouw patchritme en detectievermogen belangrijker zijn dan ooit. Vandaag draait het dus om snelheid, zichtbaarheid en discipline: weet wat je hebt, beperk toegang, monitor actief en wees klaar om meteen te isoleren als er iets misgaat.

Meest voorkomende aanvalstypen (ransomware, phishing, BEC, DDOS, supply chain)

Onderstaande vergelijkingstabel zet de meest voorkomende aanvalstypen van vandaag naast elkaar, met hun impact, typische ingang en eerste acties om schade te beperken.

Bij een cyberaanval vandaag helpt dit overzicht om razendsnel te herkennen wat er speelt en wat u eerst moet doen. Snelle isolatie, accountbeveiliging en goede communicatie beperken de schade.

Ransomware versleutelt je systemen en dreigt tegelijk met datalekken (dubbele afpersing), vaak via een eerder buitgemaakt account. Phishing blijft de populairste ingang: geloofwaardige mails, sms’jes of QR-codes lokken je naar een nepomgeving om inloggegevens te stelen. BEC (Business Email Compromise) draait om het kapen van e-mailketens zodat betalingen subtiel worden omgeleid of facturen worden aangepast. DDoS overspoelt je website of applicatie met verkeer zodat diensten onbereikbaar worden, soms als afleiding voor diefstal.

Supply chain-aanvallen misbruiken je leveranciers of software-updates om binnen te komen, waardoor één zwakke schakel meerdere organisaties treft. Je beperkt de schade met MFA en nummermatching, goedkeuringen op betalingen, segmentatie, rate limiting en DDoS-bescherming, en door leveranciers streng te beoordelen op updates, logging en toegangsbeheer.

Sectoren en organisaties die het vaakst geraakt worden in Nederland en België

Je ziet vooral zorginstellingen en ziekenhuizen geraakt worden, omdat 24/7-processen, verouderde applicaties en krappe onderhoudsvensters het patchen lastig maken en de impact direct is. Gemeenten en andere publieke diensten lopen risico door veel koppelingen, loketten en persoonsgegevens, terwijl het onderwijs kwetsbaar is door BYOD, gastnetwerken en seizoenspieken rond examens en inschrijvingen. Het mkb in productie, bouw en retail wordt vaak getroffen omdat basismaatregelen niet consequent zijn doorgevoerd.

Logistiek en havens (Rotterdam, Antwerpen) zijn aantrekkelijk door strakke planningen en ketenafhankelijkheden. Industrie en energiebedrijven hebben OT/ICS-omgevingen die je niet zomaar stillegt, wat aanvallers uitbuitten. IT-dienstverleners, accountants en advocaten zijn gewild als datarijke schakels in de supply chain. Financiële partijen blijven doelwit voor BEC en fraude, ook al is hun technische verdediging vaak sterker.

[TIP] Tip: Ontkoppel getroffen systemen, wijzig wachtwoorden, herstel vanaf offline back-ups.

Herken direct een lopende aanval

Een lopende aanval herken je aan afwijkingen in gedrag van mensen, systemen en netwerk. Doe onderstaande checks om binnen minuten duidelijkheid te krijgen.

• Menselijke signalen en accountgedrag: onverwachte MFA-pushes of inlogprompts, onverklaarbare wachtwoordresets, afwijkende betaal- of wijzigingsverzoeken (BEC), en inlogpogingen vanaf ongebruikelijke locaties of tijden.
• Snelle technische checks (identity, cloud en e-mail): nieuwe of verhoogde rechten/nieuwe lokale adminaccounts, plots uitgeschakelde antivirus of EDR, nieuwe OAuth-toestemmingen of verdachte API-tokens, en automatisch ingestelde inbox- of doorstuurregels.
• Netwerk en endpoints: pieken in uitgaand verkeer, DNS-requests naar onbekende of pas geregistreerde domeinen, massale toegang tot bestandsservers, onbekende processen/geplande taken/remote-beheertools, en snelle bestandshernoemingen die op versleuteling wijzen.

Zie je meerdere van deze signalen, ga uit van een actief incident. Escaleer direct, leg bevindingen vast en start het noodplan.

Technische signalen en snelle checks (processen, logs, netwerk, endpoints)

Begin bij processen: zoek naar onbekende of recent geplaatste binaries, rare parent-child combinaties (bijvoorbeeld Office dat cmd of PowerShell start) en nieuwe geplande taken of opstartitems. Check vervolgens je logs op mislukte en geslaagde aanmeldingen vanaf nieuwe locaties, herhaalde MFA-prompts, plots toegevoegde adminrechten, verwijderde schaduwkopieën en wijzigingen in beveiligingsinstellingen. In e-mail en cloud let je op nieuwe OAuth-toestemmingen, API-tokens en mailboxregels die berichten verbergen.

Kijk in netwerk- en DNS-logs naar pieken in uitgaand verkeer, verbindingen naar pas geregistreerde of zelden gebruikte domeinen, en laterale beweging via RDP of SMB. Op endpoints controleer je of EDR of antivirus is uitgeschakeld, of onbekende services draaien, en of gevoelige mappen massaal worden aangeraakt. Isoleer opvallende hosts direct en bewaar relevante logs voor forensisch onderzoek.

Menselijke signalen en verdachte gebeurtenissen

Veel aanvallen beginnen met gedrag dat je intuïtief al vreemd vindt. Denk aan onverwachte verzoeken om een betaling te versnellen, gewijzigde IBAN’s of facturen die “met spoed” moeten worden verwerkt, vooral als ze zogenaamd van directie of leverancier komen. Let op plotselinge wachtwoordresets, niet-herkende MFA-prompts, lock-outs of mailboxregels die mails laten verdwijnen. In Teams, Slack of WhatsApp kunnen nepaccounts of gekaapte profielen je naar externe links of bestanden lokken; telefonisch kunnen aanvallers zich voordoen als IT of leverancier, soms met deepfake-stemmen.

Ook ongeplande schermdeling of vergaderuitnodigingen met bijlagen zijn verdacht. Reageer door te stoppen, te verifiëren via een tweede kanaal dat je zelf kiest, het incident te melden, screenshots te maken en niets te openen of te betalen tot je zeker weet dat het klopt.

[TIP] Tip: Monitor plotselinge uitgaande datapieken, mislukte logins en onbekende admin-accounts.

Directe acties als je wordt aangevallen

Word je nu aangevallen? Handel direct en gestructureerd: indammen, bewijs veiligstellen en je kritieke processen beschermen.

• Isoleer en beperk toegang: haal getroffen apparaten van het netwerk (kabel eruit, wifi uit), pauzeer risicovolle VPN/RDP, zet tijdelijke segmentatie of geofencing aan; blokkeer verdachte accounts en sessies, dwing wachtwoordresets af, verscherp MFA, trek verdachte OAuth-toestemmingen en API-sleutels in en schakel malafide maildoorstuurregels uit.
• Bewaar bewijs en organiseer respons: exporteer EDR- en SIEM-logs, maak snapshots van vm’s, noteer tijden en handelingen, voorkom wissen of herinstalleren; stap over op out-of-band communicatie (telefoon of aparte chat), activeer het incidentplan, wijs rollen toe en open één vast incidentkanaal.
• Bescherm je kroonjuwelen en communiceer verplicht: verifieer dat back-ups offline, schoon en bruikbaar zijn, test een snelle restore en borg een minimaal werkbaar noodpad; informeer interne stakeholders en bereid meldingen voor (AVG bij AP/GBA, NCSC/CCB, verzekeraar en klanten waar nodig).

Hou het eerste uur strak en documenteer elke stap. Schakel zo snel mogelijk forensische hulp in om herstel te sturen zonder sporen te wissen.

Eerste uur: isoleren, accounts blokkeren, logs veiligstellen, noodplan

In het eerste uur draait alles om snelheid en controle. Isoleer getroffen apparaten direct: haal de netwerkkabel eruit, zet wifi en VPN uit, maar schakel systemen niet uit tenzij versleuteling zichtbaar bezig is. Blokkeer verdachte accounts en sessies, trek toegangstokens in en dwing wachtwoordresets pas na isolatie om verspreiding te voorkomen. Veiligstel bewijs: exporteer relevante logs (bijv. inlog- en systeemlogs), maak snapshots of back-ups en zorg dat de tijd op alle systemen gelijk loopt voor goede reconstructie.

Schakel over op een alternatief communicatiekanaal dat niet kan zijn gecompromitteerd. Activeer je noodplan: wijs een incidentleider aan, leg taken vast, bepaal prioriteiten (kroonjuwelen eerst) en besluit welke diensten je tijdelijk onderbreekt. Documenteer elke actie meteen, zodat je onderzoek en meldingen later kloppen.

Communicatie en meldplichten (AVG, AP/GBA, NCSC/CCB, verzekeraar, klanten)

Start met een korte, feitelijke holding statement en één aanspreekpunt, zodat je geen tegenstrijdige berichten verspreidt. Check meteen of er persoonsgegevens geraakt zijn; bij een datalek meld je dit onder de AVG binnen 72 uur aan de Autoriteit Persoonsgegevens (NL) of Gegevensbeschermingsautoriteit (BE) en informeer je betrokkenen als er hoog risico is. Heb je sectorale plichten (bijv. vitale dienstverlening of NIS2), dan kan een snelle melding en situatierapportage richting CSIRT/NCSC of CCB nodig zijn; vraag zo nodig om duiding en dreigingsinformatie.

Informeer je cyberverzekeraar direct, vaak vóór je externe forensische hulp inzet, anders loop je dekking mis. Communiceer met klanten transparant over impact, maatregelen en wat zij moeten doen, zonder operationele details prijs te geven die de aanvaller helpen. Documenteer alles en houd één bron van waarheid bij.

[TIP] Tip: Verbreek internetverbinding, maak screenshots, wijzig wachtwoorden via schoon apparaat, bel bank.

Herstel en weerbaarheid na een aanval

Begin met gecontroleerd herstel: verwijder de oorzaak, roteer alle geheimen (wachtwoorden, API-sleutels, certificaten, tokens), sluit de ingang en herstel alleen vanaf schone, offline of onveranderlijke back-ups die je vooraf hebt getest. Voer forensisch onderzoek uit voordat je systemen wist, zodat je begrijpt wat er is gebeurd en of de aanvaller nog aanwezig is. Versterk meteen je fundament: zet overal MFA aan met nummermatching, beperk rechten tot strikt nodig (least privilege), segmenteer netwerk en adminpaden, en beveilig identiteiten met strakkere policies voor service- en beheerdersaccounts. Zorg voor goede detectie met EDR/XDR (endpoint- en uitgebreide detectie en respons) en verfijn je SIEM-regels op basis van de aanvalspatronen die je zag.

In cloud en SaaS herstel je configuraties, verwijder je schaduw-accounts en verifieer je OAuth-apps, terwijl je logging en bewaartermijnen opschroeft. Borg back-ups volgens de 3-2-1-regel en test regelmatig een restore van je kroonjuwelen. Werk je patchritme bij, inclusief firmware en OT/ICS waar mogelijk, en verklein je aanvalsoppervlak met een actueel asset-overzicht. Sluit af met een duidelijke evaluatie en verbeter je playbooks, contracten met leveranciers en je training: oefen tabletop-scenario’s, phishing-simulaties en threat hunting, zodat je de volgende keer sneller ziet, sneller reageert en minder schade oploopt.

Herstelpad en forensisch onderzoek zonder sporen te wissen

Begin met containment zonder te formatteren of te herinstalleren: isoleer systemen van het netwerk, maar laat ze aan om vluchtige data te behouden. Maak direct forensische kopieën van schijven en een geheugen­dump, verzamel relevante logs uit EDR, SIEM, e-mail en cloud en zet ze write-once weg met tijdstempels. Leg elke handeling vast en borg keten van bewaring met hashes, zodat bevindingen verdedigbaar blijven. Bouw een tijdlijn van eerste toegang tot exfiltratie, koppel daaraan indicatoren van compromis en valideer die in je omgeving.

Herstel daarna gefaseerd in een schone staging-omgeving vanaf bekende, schone back-ups, roteer alle geheimen en sluit de oorspronkelijke ingang. Laat endpoints pas terug in productie na herbeelding, patching en verscherpte monitoring, zodat je zeker weet dat de aanvaller niet terugkomt.

Structurele maatregelen (MFA, patching, back-ups, EDR/XDR, zero trust)

Je versterkt je basis met MFA die phishing-resistent is (passkeys/FIDO2) en nummermatching, aangevuld met beleid dat verdachte aanmeldingen extra verifieert. Houd patching strak met risicogestuurde prioriteit (bekende exploits eerst), vaste deadlines en aandacht voor firmware, VPN, e-mailgateways en SaaS-configs. Back-ups borg je volgens de 3-2-1-regel, met minstens één offline of onveranderlijke kopie en periodieke hersteltests op je kroonjuwelen, zodat je zeker weet dat je echt kunt terugzetten.

Zet EDR/XDR (endpoint- en uitgebreide detectie en respons) in voor zichtbaarheid over endpoints, identiteiten, netwerk en cloud, en koppel dit aan je SIEM voor snelle triage en automatische containment. Werk volgens zero trust: verifieer elke toegang continu, geef alleen minimale rechten, scheid beheerpaden en segmenteer tot op applicatieniveau. Met deze vaste hygiëne beperk je impact en herstel je sneller.

Oefenen en bewustzijn (tabletop, phishing-simulaties, procedures)

Je bouwt echte weerbaarheid door regelmatig te oefenen, niet alleen door beleid te schrijven. Plan tabletop-sessies waarin je een realistisch scenario doorloopt, zoals ransomware in het weekend of een gekaapte leveranciersaccount, en test besluitvorming, escalatie, juridische stappen en communicatie naar klanten. Houd het tempo hoog, werk met duidelijke tijdsprongen en noteer knelpunten in rollen, toegang en tooling. Vul dit aan met doorlopende phishing-simulaties die zich aanpassen aan je niveau; meet niet alleen klikrate maar vooral de meldrate en tijd tot melding, en beloon snel en correct rapporteren.

Zorg dat procedures kort en vindbaar zijn: wie belt wie, welk kanaal gebruik je, welke systemen zet je eerst veilig, en waar staan runbooks en contactlijsten. Sluit elke oefening af met concrete verbeteracties en plan meteen een her-test, zodat je routine opbouwt en fouten niet blijven liggen.

Veelgestelde vragen over cyberaanval vandaag

Wat is het belangrijkste om te weten over cyberaanval vandaag?

Vandaag domineren ransomware, phishing/BEC, DDoS en supply-chain-aanvallen. In Nederland en België worden vooral zorg, gemeenten, onderwijs, mkb, logistiek en industrie geraakt. Herken afwijkingen vroeg, houd back-ups paraat en zorg voor MFA, EDR/XDR en duidelijk incidentresponse.

Hoe begin je het beste met cyberaanval vandaag?

Start met isoleren van getroffen systemen en het intrekken van verdachte accounts. Maak geheugen-, netwerk- en endpoint-logs veilig. Activeer je noodplan, informeer CISO/MT, en behandel meldplichten: AVG richting AP/GBA, NCSC/CCB, verzekeraar en klanten.

Wat zijn veelgemaakte fouten bij cyberaanval vandaag?

Te snel herstarten of re-imagen wist forensische sporen. Ransom betalen zonder due diligence. Te late communicatie of meldingen. Ongeteste back-ups, geen segmentatie, geen MFA/EDR, geen DDoS-runbook en geen tabletop- of phishingoefeningen na herstel.