Don’t say no, say how: waarom security teams moeten meebewegen met innovatie

In de wereld van cybersecurity is één ding zeker: als je als securityteam “nee” zegt, zullen gebruikers altijd “hoe dan wel?” zeggen — en hun oplossing zal zelden veilig zijn.

Te vaak positioneert security zich als de rem op innovatie. Maar de beste remmen bestaan niet om te stoppen — ze bestaan zodat je veilig sneller kunt gaan. Dat is precies hoe moderne security moet werken: als enabler van gecontroleerde groei, niet als obstakel.

Van ‘Department of No’ naar ‘Department of How’

De geschiedenis herhaalt zich.
Elke keer dat security-teams technologie hebben afgewezen, vonden gebruikers een manier om het tóch te gebruiken:

• Bring Your Own Device (BYOD) – verboden laptops werden stiekem aangesloten, vaak besmet met malware.
• Mobiele e-mail – medewerkers stuurden berichten door naar hun persoonlijke inboxen.
• Wi-Fi – verboden access points werden zelf gekocht en ongecontroleerd geïnstalleerd, met alle gevolgen (en uitval!) van dien
• Cloud & File Sharing – toen het niet mocht, ontstond “shadow IT”, bijvoorbeeld Dropbox terwijl OneDrive het beleid is
• AI – en vandaag zien we hetzelfde gebeuren met shadow AI.

Het patroon is duidelijk: verbieden leidt tot onzichtbare risico’s. Controleren en faciliteren leidt tot zichtbaarheid en veiligheid.

Hoe je “hoe” zegt zonder risico’s te vergroten

1. Beoordeel het échte risico – niet alleen het theoretische gevaar, maar ook de risico’s van verbieden.
2. Bied veilige alternatieven – bijvoorbeeld een goedgekeurde cloudoplossing of een intern AI-platform.
3. Train medewerkers – maak van gebruikers partners in security, niet tegenstanders.
4. Ontdek wat er al gebeurt – monitor op shadow IT en shadow AI.

Conclusie

Security die zich opstelt als blokkade verliest de controle. Security die zich opstelt als partner van innovatie behoudt de regie en krijgt de kans aan de innovatie bij te dragen.

Of zoals Jeff Crume van IBM Technology het mooi zegt:

“Het is beter om op de trein te springen en mee te sturen, dan ervoor te gaan staan en ‘stop!’ te roepen.”

Dus: zeg niet nee — zeg hoe.

Financieel gemotiveerde aanvallen domineren het cyberdreigingslandschap

Microsoft heeft op 16 oktober 2025 hun Digital Defense Report 2025 gepubliceerd. Het rapport laat zien dat de meeste cyberaanvallen tegenwoordig een financieel motief hebben. Alleen een klein deel van de incidenten heeft een zuiver spionagedoel. Voor organisaties is het belangrijk te begrijpen hoe de dreigingen zich ontwikkelen, zodat de juiste maatregelen genomen kunnen worden.

Wat valt op in het dreigingslandschap?

• Ransomware en afpersing: Meer dan 50% van de aanvallen is gericht op het verkrijgen van geld door systemen te vergrendelen of data te stelen.
• Data-diefstal als kern: Ongeveer 80% van de incidenten draait om toegang krijgen tot waardevolle data, van bedrijfsgeheimen tot persoonlijke informatie.
• Automatisering en schaal: Criminelen gebruiken veelal geautomatiseerde tools en technieken om hun impact te vergroten. Het gaat niet altijd om een gerichte aanval op één organisatie, maar vaak om brede campagnes die op tientallen tot honderden bedrijven tegelijk worden uitgevoerd.
• Criminele netwerken: Goed georganiseerde groepen achter de aanvallen maken gebruik van standaard exploits, phishing en geautomatiseerde malware om hun verdienmodel te realiseren.

Microsoft rapporteert dat hun systemen dagelijks miljarden signalen verwerken en miljoenen malwarepogingen blokkeren. Dit illustreert de schaal en de persistentie van digitale dreigingen in de huidige tijd.

Risico’s voor organisaties

De trends in het rapport laten zien dat organisaties geconfronteerd worden met verschillende risico’s:

• Financiële schade: Direct door afpersing of indirect door bedrijfsstilstand.
• Reputatieschade: Klanten en partners verliezen vertrouwen bij datalekken of operationele uitval.
• Toegangsrisico: Gestolen credentials en insider-achtige aanvallen vergroten de kans op vervolgincidenten.
• Compliance en regelgeving: Organisaties kunnen boetes of sancties krijgen als ze niet voldoen aan gegevensbeschermingsregels bij incidenten.

Het is belangrijk te beseffen dat deze risico’s zich vaak via meerdere kanalen en ketens manifesteren. Het beperken van blootstelling, segmentatie van netwerken en strikte toegangscontroles zijn essentieel.

Wat kunnen organisaties doen?

Microsoft benadrukt een aantal effectieve strategieën:

1. Basisbeveiliging op orde
   • Sterke authenticatie, inclusief multi-factor authentication.
   • Regelmatige updates en patchbeheer.
   • Endpoint-beveiliging en monitoring.
2. Beperk toegang en segmentatie
   • Alleen toegang tot data voor wie het echt nodig heeft.
   • Scheid kritieke systemen van reguliere werkplekken.
3. Monitoring en detectie
   • Actief kijken naar afwijkend gedrag en verdachte activiteiten.
   • Regelmatig testen van alerts en responsprocedures.
4. Incidentrespons oefenen
   • Scenario’s zoals ransomware, datadiefstal of phishing simulaties.
   • Evalueren van procedures en verantwoordelijkheden.

Deze maatregelen verminderen het risico aanzienlijk en maken organisaties weerbaarder, ook tegen grootschalige criminele campagnes.

Conclusie

Het rapport laat zien dat financieel gemotiveerde aanvallen de norm zijn in het huidige digitale landschap. De focus ligt niet altijd op spionage of sabotage, maar op rendement en opportunisme. Voor organisaties betekent dit dat investeren in basisbeveiliging, segmentatie en actieve monitoring essentieel is. Het gaat erom voorbereid te zijn, risico’s te beperken en incidenten efficiënt te kunnen afhandelen.

Cybersecurity is daarmee niet alleen een technisch vraagstuk, maar ook een strategisch thema dat impact heeft op continuïteit, vertrouwen en compliance.

Meer dan de helft van Nederlandse bedrijven kreeg te maken met phishing, wat kun jij doen?

Phishing blijft een groot probleem. Uit recent onderzoek van SIDN blijkt dat 58% van de Nederlandse bedrijven het afgelopen jaar het doelwit was van phishing. Ondanks dat het gevaar erkend wordt, onderneemt een groot deel van organisaties te weinig actie om het risico te reduceren.

Wat laat het onderzoek zien?

• In de helft van de gevallen ontvingen bedrijven 1 tot 50 phishingmails; bij 19% ging het zelfs om 50 tot 200 pogingen.
• 45% van de bedrijven beschouwt phishing als een “grote tot zeer grote bedreiging”, maar dat vertaalt zich niet altijd in maatregelen.
• Slechts 61% heeft spamfilters of beveiligingssoftware ingericht, 45% geeft security-awarenesstrainingen, en slechts 30% voert simulaties of phishingtests uit.
• Opvallend: 17% van de ondervraagde bedrijven zegt helemaal geen maatregelen te nemen.
• Wat standaarden betreft (SPF, DKIM, DMARC, BIMI) — die het vervalsen van e-mailadressen tegengaan — is de bekendheid beperkt. SPF scoort het hoogst (58% bekendheid), de rest blijft onder de 50%.
• Ook komt misbruik van bedrijfsnamen vaak voor: 37% meldt dat hun naam gebruikt is bij phishingacties.
• Intern beleid is vaak afwezig of verouderd: 28% van de bedrijven heeft geen beleid voor het geval phishing slaagt; 18% heeft wel beleid maar heeft dat niet geüpdatet.
• Tot slot: 54% van de organisaties onderneemt geen actie richting externe relaties (klanten, partners) om hen bewust te maken van het risico.

Waarom gebeurt dit?

Een belangrijke reden is gebrek aan prioriteit vanuit het management. Sommige bedrijven vinden het instellen van e-mailstandaarden “te ingewikkeld” of te arbeidsintensief, ook al zijn er inmiddels veel professionele hulpmiddelen en ervaring beschikbaar in de markt.

Daarnaast blijft het idee dat phishing een geïsoleerd probleem is, iets dat alleen “ons eigen systeem” raakt.
Maar de impact reikt verder: reputatieschade, vertrouwensverlies, en mogelijke schade bij relaties.

Wat kun je zelf (en binnen je organisatie) doen?

1. Bescherm je organisatie met goede e-mailbeveiliging, de standaardbeveiliging is vaak niet meer afdoende om geavanceerdere dreigingen op te merken of tegen te houden
2. Implementeer e-mailstandaarden — zoals SPF, DKIM en DMARC, dit beschermt niet alleen jouw mensen maar ook je relaties
3. Train medewerkers regelmatig op het herkennen van phishing: gerichte awarenessprogramma’s.
4. Veranker beleid en update het wanneer nodig — en gok niet op “later”.
5. Informeer relaties (klanten/leveranciers) over phishingrisico’s en hoe ze zichzelf kunnen beschermen.

Conclusie

De SIDN-cijfers laten zien dat phishing niet ergens “ver weg” is — het is hier en nu, en raakt een meerderheid van organisaties. Wie dit serieus neemt, bouwt niet alleen betere beveiliging, maar versterkt vertrouwen binnen én buiten de organisatie.

Phishing is ook niet alleen meer het vissen naar gebruikersnamen & wachtwoorden, het is het belangrijkste gereedschap wat een cybercrimineel heeft om een organisatie aan te vallen; overnemen van credentials gebeurt daarbij nog steeds vaak maar er worden ook nog steeds ransomware-aanvallen gestart via één enkele e-mail.

Bij RiskGuard helpen we je graag om deze stappen concreet te maken. Neem gerust contact op als je wil sparren over jouw volgende stap in phishingpreventie.

Ransomware legt Europese luchthavens stil

Afgelopen weekend zijn meerdere luchthavens in Europa getroffen door een storing bij het inchecken en boarden. De oorzaak bleek een ransomware-aanval op Collins Aerospace, leverancier van het veelgebruikte MUSE-platform.

Dit platform ondersteunt check-in en boarding processen voor verschillende luchtvaartmaatschappijen. Door de aanval waren de systemen urenlang niet beschikbaar.

Impact op de operatie

• Honderden vluchten liepen vertraging op of werden geannuleerd.
• Passagiers moesten in veel gevallen handmatig ingecheckt worden.
• Grote luchthavens zoals Heathrow, Brussels Airport en Berlijn Brandenburg meldden problemen.

De gevolgen waren zichtbaar in lange wachtrijen en verstoorde schema’s. Voor de getroffen maatschappijen was er weinig ruimte voor uitwijk: de processen zijn sterk afhankelijk van het centrale systeem.

Bevestiging oorzaak

De Europese cybersecuritywaakhond ENISA bevestigde dat ransomware de oorzaak was. Collins Aerospace werkt samen met opsporingsdiensten en nationale CERT’s om de systemen te herstellen en verdere impact te beperken.

Lessen voor organisaties

Dit incident benadrukt opnieuw het belang van leveranciersrisicobeheer. Een verstoring bij één partij kan direct gevolgen hebben voor tientallen klanten en duizenden eindgebruikers. Belangrijk daarbij:

• Continuïteitsplannen moeten ook scenario’s bij leveranciers afdekken.
• Contracten en SLA’s moeten duidelijk maken hoe snel een leverancier moet herstellen.
• Alternatieve procedures (bijvoorbeeld handmatige processen) zijn noodzakelijk om de impact voor klanten te beperken.
• Regelmatig testen van uitwijk- en herstelprocessen helpt organisaties beter voorbereid te zijn.

Conclusie

Ransomware richt zich niet alleen op afzonderlijke bedrijven. Ook toeleveranciers en dienstverleners in de keten zijn doelwit. Voor sectoren waar continuïteit cruciaal is, zoals luchtvaart of zorg, kan zo’n aanval direct zichtbaar worden voor het publiek.

Voor organisaties is dit een wake-up call: leveranciersbeveiliging en ketenafhankelijkheden horen een vast onderdeel te zijn van risicomanagement en crisisvoorbereiding.

Actor Tokens en Entra ID: hoe een kwetsbaarheid Global Admin-rechten in elke tenant mogelijk maakte

Een recente ontdekking door Dirk-jan Mollema laat zien hoe een combinatie van legacy technologie en ongedocumenteerde tokenmechanismen kon leiden tot volledig beheer over alle Microsoft Entra ID tenants. In deze blog duiken we in wat de kwetsbaarheid inhoudt, welke impact het had, welke maatregelen Microsoft genomen heeft én wat jouw organisatie nú moet doen om niet blootgesteld te zijn.

Wat is er gebeurd?

• Microsoft gebruikt interne tokens, ”Actor tokens”, voor service-naar-service (S2S) communicatie. Deze zijn niet publiekelijk gedocumenteerd.
• De kwetsbaarheid zat in de verouderde Azure AD Graph API, die niet goed verifieerde van welke tenant een token afkomstig was. Actor tokens uitgegeven in een niet-bevoegde (lab) tenant konden daardoor misbruikt worden om toegang te krijgen tot andere tenants.
• Actor tokens werden niet afgedwongen door security controllers zoals Conditional Access, MFA, of tenant-specifieke beleidsregels.
• De tokens waren én zijn kwetsbaar wat betreft logging: aanvragen en gebruik van Actor tokens genereren geen audit-gegevens in de doeltenant. Gewoonlijk niet meer dan standaard wijzigingen (zoals rolwijzigingen) genereren wél logs, maar de initiële misbruik-handeling zelf blijft stil.

Impact

De gevolgen waren potentieel ernstig:

• Met een Actor token uit een willekeurige tenant had een aanvaller Global Admin-rechten kunnen verkrijgen in elke Entra ID tenant.
• Daarmee komt toegang tot alle identiteiten, groepslidmaatschappen, tenant-instellingen, service principals, applicatiepermissies, zelfs devices en BitLocker keys in zicht.
• Omdat veel tenants gastgebruikers (B2B) hebben, konden de misbruiksroutes zich via vertrouwen tussen tenants exponentieel uitbreiden.
• Het probleem is gemeld aan Microsoft’s Security Response Center (MSRC) op 14 juli 2025.
• Binnen een paar dagen zijn fixes/mitigaties uitgerold die onder meer Actor tokens voor de Azure AD Graph API buiten gebruik stellen voor service principals.
• Microsoft heeft CVE-nummer CVE-2025-55241 toegekend aan deze kwetsbaarheid.

Detectie & tekenen van misbruik

Hoewel het initiële misbruik weinig sporen nalaat, zijn er aanwijzingen waarop gelet kan worden:

• Onverwachte of onbekende Global Admin-roltoewijzingen.
• Wijzigingen in Conditional Access policies of tenant-instellingen zonder duidelijke aanleiding.
• Creatie van service principals of applicaties met hoge machtigingen, vooral als deze nieuwe accounts zijn en er weinig gebruik of toezicht is.
• Acties binnen Microsoft 365, Azure of andere diensten gevoerd door ogenschijnlijk “legitieme” Global Admins, maar met ongebruikelijke attributen: bijvoorbeeld als de roltoewijzing plaatsvindt via een service zoals Exchange of SharePoint, of als logs aangeven dat het verzoek is “geïnitieerd door” een Microsoft-service maar met Admin-rechten.

Aanbevolen actiepunten

• Inventory & eliminatie van legacy Graph afhankelijkheden — identificeer alle apps en scripts die nog Azure AD Graph gebruiken; migreer waar mogelijk naar Microsoft Graph en plan vervanging z.s.m.
• Verifiëer tenant-logs en verbeter detectie — zorg dat je monitoring niet alleen op tenant-niveau kijkt, maar ook op ongewone S2S-verzoeken of ongebruikelijke activiteit vanuit interne service-principals. Voeg extra telemetrie toe waar nodig
• Beperk en isoleer beheer-paden — segmentatie van admin-workflows en het beperken van welke accounts nieuwe tenants kunnen creëren of welke services rechten krijgen, beperkt blast radius. Volg Microsoft’s guidance rond tenant isolation.
• Zero Trust voor services — behandel interne service-to-service tokens kritisch: vereist least privilege, korte token-levensduur, en waar mogelijk cryptografische ondertekening en verificatie.
• Incident readiness — test playbooks voor cross-tenant compromise (hoe detecteer je, hoe isoleer je en hoe rolt je herstel uit), inclusief communicatie naar cloud-service providers.

Conclusie

De ontdekking van Dirk-jan Mollema versterkt een belangrijke les: identificatie- & authenticatieplatformen (zoals Microsoft Entra) zijn een absolute goudmijn voor aanvallers, zodra ze daar (administratieve) toegang toe hebben kun je alle erop aangesloten systemen als compromised beschouwen. Zelfs “interne” tokens voor service-naar-service verkeer kunnen, mits verkeerd ingericht of onvoldoende gevalideerd, leiden tot volledige tenantcompromis.

Ons advies: controleer zo snel mogelijk of jouw Microsoft-tenant hiervoor kwetsbaar is of was en zo ja, controleer de gehele tenant, de kans is aanwezig dat er ooit toegang toe geweest is zonder dat je dit wist. Zorg dat je in control bent van welke API’s worden gebruikt, welke tokens kunnen worden uitgevraagd, en dat je zicht hebt op wat er afspeelt, zelfs achter de schermen.

Een aantal van deze kwetsbaarheden worden in onze Cloud Security-baseline ook gecontroleerd.

HybridPetya: wat je moet weten over deze nieuwe Petya/NotPetya-copycat met Secure Boot-bypass

In de wereld van ransomware en bootkits is het zelden rustig. Onlangs ontdekte ESET Research een malwarevariant die oplaait met eigenschappen van zowel Petya als NotPetya – en die ongemakkelijke nieuwe trucs kent, waaronder een UEFI Secure Boot-bypass. Ze noemen ‘m HybridPetya. Hier de belangrijkste bevindingen én wat organisaties kunnen doen om zich te wapenen.

Wat is HybridPetya precies?

• Petya / NotPetya-nabootser: De malware is duidelijk geïnspireerd op de beruchte Petya/NotPetya-varianten (2016-2017).
• Nieuwe techniek: UEFI-ondersteuning: In tegenstelling tot de klassieke versies kan HybridPetya moderne systemen met UEFI aan – door een kwaadaardige EFI-applicatie te installeren op de EFI System Partition.
• Gebruik van CVE-2024-7344: Een Secure Boot-bypass­kwetsbaarheid op verouderde systemen wordt gebruikt — via een speciaal geprepareerde cloak.dat-file.

Hoe werkt de aanval?

1. Installer: De malware-installer controleert of een systeem UEFI gebruikt, zoekt de juiste EFI System Partition (ESP), en vervangt of modificeert bootloaders op die partitie.
2. Bootkit: Een bootkit-component wordt geladen bij het opstarten. Die laadt configuratiegegevens, controleert of eerdere encryptie heeft plaatsgevonden, en voert dan de encryptie uit.
3. Encryptie van Master File Table (MFT): Een cruciale stap – de MFT wordt versleuteld. Dat betekent dat de metadata van bestanden (niet de bestanden zelf in alle gevallen) ontoegankelijk wordt.
4. Fake CHKDSK-bericht: Om te verhullen wat er gebeurt wordt een vals “CHKDSK analyseert schijf” bericht getoond, net zoals in de klassieke Petya/NotPetya-versies.
5. Decryptie mogelijkheid: Anders dan NotPetya kan HybridPetya wel een decryptiesleutel reconstrueren, mits de gebruiker de juiste persoonlijke installatie-sleutel invoert.

Hoe gevaarlijk is dit?

• Hoewel er geen bewijs is dat HybridPetya op grote schaal in het wild wordt gebruikt (nog niet), is de technische capaciteit opvallend.
• De Secure Boot-bypass maakt dit vooral relevant voor organisaties met verouderde firmware of systemen waar de nieuwste beveiligingsupdates (zoals voor dbx) nog niet zijn geïnstalleerd.

Wat kun je doen om je te beschermen?

1. Firmware & Secure Boot updates: Zorg dat je UEFI/BIOS/firmware up-to-date is. Installeer Microsoft’s dbx-updates (of gelijkwaardige revocatie van kwetsbare certificaten) om kwetsbaarheid tegen CVE-2024-7344 te mitigeren.
2. Disk encryptie: door de SSD van de machine in kwestie te versleutelen met ESET FDE of bijvoorbeeld Bitlocker kun je voorkomen dat de MFT wordt versleuteld, dat is ‘ie namelijk al
3. Beperk fysieke toegang tot ESP: Bevestig dat alleen geautoriseerde processen/gebruikers wijzigingen mogen aanbrengen op de EFI System Partition.
4. Monitor op onverwacht opstartgedrag: Let op wijzigingen aan bootloaderbestanden of het verschijnen van onbekende EFI-applicaties in de ESP.
5. Back-ups & herstelplannen: Omdat de MFT versleuteld kan worden, zijn goede, recente back-ups cruciaal. Test je herstelscenario’s op integriteit.
6. Awareness & detectie: Gebruik tools die vreemd gedrag tijdens boot kunnen detecteren (onbekende EFI apps, manifestchanges, etc.). Zorg dat je incident response team klaar is om te handelen.

Conclusie

HybridPetya is op dit moment vooral technisch indrukwekkend, maar niet (voor zover bekend) massaal in gebruik. Wat ‘m echter gevaarlijk maakt is de combinatie van:

• UEFI-ondersteuning + ESP-infiltratie
• Secure Boot bypass via CVE-2024-7344
• De mogelijkheid voor decryptie (mits juiste sleutel), dus niet louter destructief

Voor RiskGuard-klanten geldt: deze dreiging benadrukt hoe belangrijk het is om niet alleen op applicatie-niveau te beveiligen, maar ook diep in de opstartketen. Secure Boot en firmware-updates zijn daarbij van belang.
Ook is het versleutelen van de schijf (met een wachtwoord wat je wel weet) in dit geval ook erg belangrijk.

Autonome AI-aanvallen: dichterbij dan we denken

De discussie rond AI in cybersecurity gaat vaak over tools die verdedigers helpen sneller te reageren. Maar er is ook een andere ontwikkeling gaande: aanvallers gebruiken AI om aanvallen volledig autonoom te laten uitvoeren.

Volgens diverse kenners is dit geen toekomstmuziek meer. AI-agenten kunnen straks zelfstandig kwetsbaarheden vinden, zich verplaatsen in netwerken en hun tactieken aanpassen aan de omstandigheden. Het gaat niet alleen om snelheid, maar vooral om schaal. Waar menselijke aanvallers beperkt zijn in tijd en capaciteit, kan een AI-agent duizenden doelwitten tegelijk verkennen.

Een wapenwedloop

De industrie loopt achter. Grote investeringen gaan richting startups die AI inzetten voor security, maar verdediging is complexer dan aanval. Een kwaadwillende AI hoeft maar één zwakke plek te vinden, terwijl verdedigers alle gaten moeten dichten. Dat verschil wordt steeds scherper zichtbaar.

Eén van de aspecten waar AI al breed ingezet wordt is het genereren van phishing-berichten, waar vroeger de taalfouten je tegemoet kwamen, kan een LLM dit in foutloos Nederlands genereren en vaak nog helemaal toegespitst op het doelwit of zelfs de persoon.

Wat dit betekent voor organisaties

Voor bedrijven betekent dit dat traditionele beveiligingslagen alleen niet meer voldoende zijn. Autonome aanvallen vragen om:

• Snellere detectie: monitoring die patronen in real-time kan herkennen.
• Automatische respons: systemen die zonder menselijke tussenkomst acties kunnen blokkeren.
• AI-native oplossingen: beveiliging die zelf leert en zich kan aanpassen, net zoals de aanvallende AI dat doet.

Conclusie

De opkomst van autonome AI-aanvallen maakt duidelijk dat security-strategieën opnieuw tegen het licht gehouden moeten worden. Wachten tot de eerste incidenten breed bekend worden is geen optie. Voorbereiden begint nu: met bewustwording, testen van AI-security en het kritisch bekijken van de eigen weerbaarheid.

Tijd voor actie

Bij Riskguard helpen we organisaties om risico’s in kaart te brengen en praktische stappen te zetten. Wilt u weten hoe goed uw organisatie voorbereid is op AI-gedreven aanvallen? Met het Cyberalarm kun je nu al AI-gedreven analyse van het netwerkverkeer laten uitvoeren.

Neem contact op voor een risico-analyse of een gesprek over passende maatregelen.