Ransomware 2026: oefen op identiteit
Twee cijfers uit de ransomwarerapporten van dit voorjaar veranderen je oefenscenario meer dan alle trendverhalen bij elkaar. Eén: de helft van de slachtoffers had in de 95 dagen vóór de aanval al een gestolen wachtwoord of een infostealer-besmetting. Twee: bij het snelste kwart van de inbraken zat er nog 72 minuten tussen binnenkomen en het wegsluizen van data, tegen 285 minuten een jaar eerder. Die cijfers staan in een overzicht van MSP Business dat de rapporten van Verizon, Sophos, Coveware, Kaspersky, Black Kite en Unit 42 naast elkaar legt.
Wat er feitelijk is verschoven
| Meting | Vorig jaar | Nu |
|---|---|---|
| Slachtoffers dat weigert te betalen (Verizon) | 64% | 69% |
| Tijd tot data-exfiltratie, snelste kwart (Unit 42) | 285 min | 72 min |
| Kwetsbaarheden als toegangsweg (Sophos) | 32% | 18% |
| Actieve ransomwaregroepen (Black Kite) | — | 146 |
| Mediane betaling (Coveware, Q2) | — | 150.000 dollar |
Het volume daalt dus niet. Recorded Future telde 7.200 publiek gemelde aanvallen in 2025, 47 procent meer dan het jaar ervoor, en Verizon ziet ransomware inmiddels in 48 procent van alle onderzochte datalekken. Wat verandert is wie er aanvalt en hoe die binnenkomt.
Het rapport spreekt zichzelf tegen, en dat is nuttig
Sophos ziet kwetsbaarheden voor het eerst in vier jaar van de eerste plaats verdwijnen als toegangsweg. Verizon meet in zijn bredere dataset juist een opmars van kwetsbaarheden. Beide kloppen: ze kijken naar andere populaties en periodes. Wie zo’n tegenstelling gebruikt om één rapport weg te zetten, mist het punt.
De gedeelde conclusie is wat telt. Bij Sophos leiden kwaadaardige e-mail en phishing samen de helft van de incidenten in, staan gestolen inloggegevens op 23 procent en had 79 procent van de aanvallen een identiteitscomponent. Patchen alleen dekt de toegangswegen van 2026 niet meer af.
Wat dat betekent voor je oefening
Wij hebben eerder een scenario beschreven voor de eerste 30 minuten na een phishingmelding. Met 72 minuten tot exfiltratie is die eerste half uur geen opwarmfase meer maar het grootste deel van je hele speelveld. Drie concrete aanpassingen:
- Begin het scenario vóór de versleuteling. Zet als startpunt niet het losgeldbriefje neer, maar een melding uit je monitoring op gelekte inloggegevens van drie maanden geleden. De vraag aan het team: wat deden we daar toen mee, en wat zouden we nu doen?
- Oefen de servicedesk, niet alleen de techniek. Groepen als Silent Ransom komen binnen via social engineering richting een helpdesk. Bouw een wachtwoordreset-verzoek in het scenario in, met een beller die haast heeft en overtuigend klinkt.
- Meet uitgaand verkeer, niet alleen versleuteling. Bij afpersing zonder encryptie is er geen enkel encryptiesignaal om op af te gaan. Als je detectie-oefening alleen op versleuteling test, oefen je een aanval die aan de bovenkant van de markt uit de mode is.
Waarom niet betalen werkt
De betaalbereidheid zakt al drie jaar op rij: 59, dan 64, nu 69 procent weigert. Chainalysis becijferde de totale losgeldstroom over 2025 op 820 miljoen dollar, opnieuw lager. Bij afpersing met alleen gestolen data betaalt nog 15 procent.
Dat cijfer is geen morele overwinning maar een operationele: geteste back-ups geven organisaties de ruimte om nee te zeggen. Precies daarom blijft een back-up zonder restore-test vals vertrouwen. Neem de restore-test op in je voorbereiding van de oefening, en doe hem echt — niet als afvinkpunt op een slide.
Nog twee getallen om mee te nemen naar de directietafel: 96 procent van de ransomwareslachtoffers is een kleine organisatie, en het aantal datalekken via derde partijen steeg met 60 procent. Wie een dienstverlener met toegang tot zijn systemen heeft, oefent dus niet alleen zijn eigen omgeving.
De gouden regel voor dit jaar: als je scenario begint op het moment dat de bestanden versleuteld raken, oefen je de nasleep. De aanval begon 95 dagen eerder met een wachtwoord.