De 17 grootste cyberaanvallen in Nederland aller tijden

De grootste cyberaanvallen in Nederland hebben één vervelend patroon gemeen: ze beginnen zelden met een geniale hacker. Ze beginnen met een wachtwoord dat twee keer is gebruikt, een VPN zonder meervoudige authenticatie, een phishing-mail die er echt uitzag, of een leverancier die nooit is gecontroleerd. Deze lijst bevat zeventien gedocumenteerde Nederlandse gevallen, van het grootste datalek in de telecomsector en een gigant op het gebied van ziekenhuissoftware tot de KNVB en een keten van tandartspraktijken, en wat ze hebben gekost.

De cijfers achter de zaken blijven maar stijgen. De Autoriteit Persoonsgegevens kreeg in 2025 39.407 meldingen van datalekken binnen, een stijging ten opzichte van 37.839 een jaar eerder. Daarvan waren er 2.428 het gevolg van een cyberaanval en was er een sterke stijging van het aantal lekken door phishing. In het Cybercrimebeeld Nederland 2026, dat op 3 september 2026 is gepubliceerd, schatten de politie en het Openbaar Ministerie dat in 2025 2,5 miljoen Nederlanders het slachtoffer zijn geworden van cybercriminaliteit of online fraude. Als je eerst de basis wilt weten, lees dan wat een cyberaanval is; hieronder gaan we direct naar de gevallen, met de nieuwste eerst.

De grootste cyberaanvallen in Nederland

1. Odido (2026)

Op 12 februari 2026 bevestigde telecomprovider Odido het grootste datalek in de Nederlandse geschiedenis. Het hackerscollectief ShinyHunters had toegang gekregen tot een bestand met de gegevens van zo’n 6,2 miljoen klantaccounts van Odido en zijn merk Ben, en beweerde in totaal gegevens te hebben van meer dan 8 miljoen huidige en voormalige klanten, goed voor meer dan 21 miljoen records. Volledige namen, adressen, telefoonnummers, geboortedata, e-mailadressen, bankrekeningnummers en de nummers en geldigheidsdata van paspoorten en rijbewijzen werden gestolen. Wachtwoorden en belgegevens waren er niet bij.

De manier waarop ze binnenkwamen was pure social engineering: de criminelen hebben via e-mail de wachtwoorden van individuele medewerkers van de klantenservice gestolen en belden ze vervolgens op, waarbij ze zich voordeden als de IT-afdeling om ze zo langs de meervoudige authenticatie te loodsen. Odido weigerde het losgeld te betalen, waarna de groep de volledige dataset openbaar maakte. Binnen twee maanden volgde een collectieve claim tegen het bedrijf. Eén telefoontje naar een medewerker van de helpdesk was genoeg om een derde van het land bloot te leggen.

2. ChipSoft (2026)

Op 7 april 2026 werd ChipSoft, het bedrijf achter HiX – het elektronische patiëntendossier dat door zo’n driekwart van de Nederlandse ziekenhuizen wordt gebruikt – getroffen door ransomware. ChipSoft haalde uit voorzorg Zorgportaal, HiX Mobile en zijn Zorgplatform offline, en minstens elf ziekenhuizen, waaronder het Erasmus MC en Medisch Spectrum Twente, verbraken de verbinding met de leverancier. Het beveiligingscentrum voor de gezondheidszorg Z-CERT en het NCSC coördineerden de reactie.

Twee weken later beweerde de groep die zichzelf Embargo noemde dat ze zo’n 100 gigabyte aan gegevens had gestolen en dreigde die openbaar te maken. ChipSoft bevestigde dat het met de aanvallers had onderhandeld en verklaarde op 28 april dat de gestolen gegevens waren vernietigd. Of er losgeld is betaald, en hoeveel, is nooit bekendgemaakt. Voor ziekenhuizen was de les duidelijk: één enkele leverancier kan de patiëntendossiers van een heel land platleggen, en daarom wordt informatiebeveiliging in de gezondheidszorg als een aparte discipline behandeld.

3. Clinical Diagnostics en het bevolkingsonderzoek baarmoederhalskanker (2025)

In augustus 2025 maakte Bevolkingsonderzoek Nederland bekend dat criminelen de gegevens hadden gestolen van meer dan 485.000 vrouwen die meededen aan het landelijke baarmoederhalskanker-screeningprogramma. Het datalek vond plaats bij Clinical Diagnostics in Rijswijk, een laboratorium van Eurofins dat de monsters analyseert. Onder de gestolen bestanden bevonden zich namen, adressen, burgerservicenummers, testresultaten en de namen van de doorverwijzende artsen; sommige gegevens dateren al uit 2016.

De aanvallers eisten losgeld van Eurofins en dreigden de gegevens openbaar te maken. Het Openbaar Ministerie startte een strafrechtelijk onderzoek, de Inspectie Gezondheidszorg en Jeugdzorg zette een onderzoek in naar de beveiliging van het lab, en het screeningprogramma schortte de samenwerking met het lab op. Het is het grootste datalek op medisch gebied dat Nederland ooit heeft meegemaakt, en het trof mensen die niets anders hadden gedaan dan een uitnodiging voor een routinetest te accepteren.

4. Openbaar Ministerie (2025)

Op 17 juli 2025 heeft het Openbaar Ministerie zijn hele IT-omgeving van het internet gehaald nadat het NCSC had gewaarschuwd voor een kwetsbaarheid in Citrix NetScaler, het systeem dat toegang op afstand mogelijk maakt. Uit technisch onderzoek bleek later dat er daadwerkelijk misbruik was gemaakt van die kwetsbaarheid. Er is geen manipulatie of diefstal van gegevens vastgesteld, maar alleen al die voorzorgsmaatregel kostte een hoop geld.

Bijna drie weken lang konden de openbare aanklagers niet op afstand werken, waren dossiers deels ontoegankelijk en liepen rechtszaken vertraging op. Pas op 7 augustus werkte de e-mail weer, en kwam de organisatie stap voor stap weer online. Dit geval laat zien wat één enkel apparaat aan de rand van een netwerk, zonder beveiligingsupdates, kan aandoen aan een organisatie waar de hele strafrechtelijke keten van afhankelijk is.

5. TU Eindhoven (2025)

Op zaterdagavond 11 januari 2025 merkte het IT-team van de Technische Universiteit Eindhoven verdachte activiteiten op hun servers op en schakelde het netwerk diezelfde nacht nog uit. Voor de 14.000 studenten lag het onderwijs een hele week stil, werden tentamens uitgesteld en waren de systemen ongeveer anderhalve week niet beschikbaar. Volgens de eigen evaluatie van de universiteit was de aanvaller bezig met de voorbereidingen om ransomware te verspreiden.

De oorzaak bleek pijnlijk alledaags: de aanvaller logde via de VPN in met wachtwoorden van accounts waarvan al bekend was dat ze waren gelekt. De VPN had nog geen meervoudige authenticatie, en er was niets dat iemand erop wees dat oude, gecompromitteerde wachtwoorden nog steeds in gebruik waren. De universiteit heeft sindsdien haar VPN vervangen en daar meervoudige authenticatie op ingeschakeld.

6. Nationale Politie (2024)

In september 2024 meldde de Nederlandse politie dat aanvallers toegang hadden gekregen tot een algemene adreslijst in Outlook en de zakelijke contactgegevens van zo’n 62.000 politieagenten hadden gestolen: namen, e-mailadressen, telefoonnummers en in sommige gevallen ook privégegevens en foto’s. Ook e-mailadressen van partnerorganisaties werden meegenomen.

De inlichtingendiensten AIVD en MIVD, die de politie op de hoogte brachten van de inbraak, achten het zeer waarschijnlijk dat er een buitenlandse staat achter zat. Het ging niet om ransomware en er vielen geen systemen uit, maar de gevolgen waren ernstig: voor agenten die undercover werken of aan gevoelige zaken werken, is het uitlekken van een naam en telefoonnummer niet alleen een privacykwestie, maar ook een probleem voor hun persoonlijke veiligheid.

7. KNVB

In april 2023 werd de KNVB het slachtoffer van een ransomware-aanval door de Russisch sprekende LockBit-groep, die dreigde gevoelige documenten openbaar te maken tenzij de voetbalbond zou betalen. In september bevestigde de KNVB dat ze had betaald. Het exacte bedrag is nooit bekendgemaakt, maar naar verluidt ging het om zo’n 1 miljoen euro. De voorzitter van de Autoriteit Persoonsgegevens reageerde fel en zei dat betalen “een verwerpelijk bedrijfsmodel” in stand houdt, omdat er geen garantie is dat de criminelen de gegevens toch niet zullen verkopen.

Lockbit dreigde tot 300 GB aan data te delen, waaronder paspoorten en salarisinformatie van spelers van Oranje. De KNVB deelde mee dat ze het losgeld hadden betaald, maar dat de informatie mogelijk alsnog gelekt zou worden.

8. Gemeente Hof van Twente

“Hoi, data terug nodig? Neem snel contact op.” Dat was het bericht dat Hof van Twente in december 2020 ontving. De gemeente bleek gehackt te zijn en de dienstverlening aan de gemeenschap lag daardoor maandenlang stil. De cybercriminelen eisten 750.000 euro losgeld, maar Hof van Twente weigerde te betalen.

Daarom moesten alle softwaresystemen helemaal opnieuw worden opgebouwd. Dit kostte de gemeente 4,2 miljoen euro aan schade, wat neerkomt op zo’n 120 euro per inwoner.

De hackers konden een van de servers binnendringen omdat het wachtwoord ‘Welkom2020’ bleek te zijn. Daarnaast waren er door de gemeente geen elementaire voorzorgsmaatregelen genomen.

9. Universiteit Maastricht

In 2019 betaalde de Universiteit van Maastricht 200.000 aan losgeld nadat ze het slachtoffer was geworden van een cyberaanval. Door de ransomware lagen de softwaresystemen van de universiteit maandenlang plat. Op dat moment zei de universiteit dat ze geen andere uitweg zag dan het losgeld gewoon te betalen.

Na onderzoek van Fox-IT werd duidelijk dat het datalek veroorzaakt was door een phishingaanval. Iemand binnen de organisatie van de universiteit had geklikt op een phishinglink die eruitzag als ‘de echte deal’.

Eenmaal binnen profiteerden de cybercriminelen ook van meerdere niet-uitgevoerde security updates door de universiteit. Na verloop van tijd hadden ze het hele netwerk gegijzeld. De aanvallers schakelden de antivirussoftware uit en legden de systemen plat.

De back-ups waren ook verbonden met het netwerk, zodat de aanvallers ook deze konden versleutelen.

Dit is een van de weinige verhalen over datalekken die daadwerkelijk een enigszins positieve afloop heeft. In 2022 vonden de autoriteiten een deel van het losgeld dat in cryptocurrency was betaald. Aangezien de bitcoin in waarde was gestegen, maakten ze zelfs een aanzienlijke winst toen ze het terugkregen. De 200.000 euro die ze betaalden, was nu 500.000 waard.

10. VDL

VDL Groep, een groot concern met 105 bedrijven verspreid over Europa, Amerika en Azië, werd in 2021 getroffen door een ransomware-aanval. Alle 105 bedrijven werden getroffen door de aanval. Dit legde veel van hun fabrieken stil en verhinderde dat ze via e-mail konden communiceren. Het is niet duidelijk hoeveel losgeld de cybercriminelen eisten.

In 2021 had VDL Groep wereldwijd meer dan 15.000 medewerkers in dienst en in 2020 behaalden ze een omzet van 4,7 miljard euro.

11. Van der Helm Logistics

Richard van der Helm, CEO van Van der Helm Logistics, beweerde altijd geen criminelen te betalen. Dat veranderde toen hij ontdekte dat de computersystemen van zijn logistieke bedrijf waren gehackt. De systemen lagen volledig plat en de aanvallers eisten losgeld. Twee dagen later betaalde hij het losgeld.

Nadat een securitybedrijf hem vertelde dat alle systemen moesten worden hersteld en opnieuw opgebouwd, wist hij dat dit weken zou duren. Dit betekende dat contractuele verplichtingen niet nagekomen zouden worden en het bedrijf binnen de kortste keren failliet zou gaan.

Van der Helm gebruikte een verouderde VPN en gebruikte geen detectiesoftware. De aanvallers hadden talloze variaties van wachtwoorden geprobeerd. Deze activiteit zou zijn opgemerkt als er detectie aanwezig was geweest.

12. Gemeente Alkmaar

De gemeente Alkmaar werd ook slachtoffer van een cybercrimineel. Iemand die zich voordeed als de CEO van een andere organisatie stuurde een factuur van 236.000 euro, die onder druk van de nep-CEO werd betaald. Deze vorm van identiteitsfraude zien we de afgelopen jaren steeds vaker.

Eerder, in 2020, was Alkmaar al slachtoffer van cybercrime geweest toen een medewerker op een phishinglink klikte. Dit leidde ertoe dat de gegevens van duizenden inwoners korte tijd openbaar waren.

Beide incidenten zijn duidelijke voorbeelden van waarom Security Awareness Training cruciaal is.

13. De Mandemakers Groep

In 2021 werd de Mandemakers Groep getroffen door een ransomware-aanval. De aanval zorgde ervoor dat alle computersystemen volledig werden stilgelegd. Het bedrijf wilde niet te veel details delen over de aanvaller of de hoogte van het losgeld, maar gaf aan dat het om een “aanzienlijk bedrag” ging. In de meeste gevallen, vooral in 2021, vragen aanvallers enorme bedragen in bitcoin of andere cryptocurrency.

14. RTL

Een ander opvallend voorbeeld van een cyberaanval was toen RTL werd getroffen door ransomware. Het losgeld van 8500 euro was niet hoog, wat interessant is aangezien RTL zo'n bekend merk is.

In dit geval kregen de aanvallers toegang tot het netwerk van RTL omdat de inloggegevens van een medewerker van een extern IT-bedrijf waren buitgemaakt. Dit bedrijf was verantwoordelijk voor het netwerk van RTL. Er was geen two-factor authentication aanwezig, waardoor de aanvallers eenvoudig toegang kregen tot het netwerk.

De aanvallers gebruikten de ransomware CryTOX om bestanden op een aantal computers te versleutelen. Op het scherm verscheen een bericht met het verzoek om losgeld te betalen. Een aantal belangrijke interne systemen, zoals het redactiesysteem en het advertentieplanningssysteem, werden ook stilgelegd.

15. Mediamarkt

In 2021 werd Mediamarkt getroffen door een ransomware-aanval. Dit legde hun hele online business wekenlang stil, waardoor het bedrijf alleen producten kon verkopen die in de winkel verkrijgbaar waren. De aanval trof veel Windows-systemen van Mediamarkt, waaronder die van 49 winkels in heel Nederland.

De organisatie achter deze aanval heet Hive. Deze groep staat erom bekend meestal miljoenen aan losgeld in bitcoin te vragen. Toen Mediamarkt een chat startte met de groep, reageerden ze net zo vriendelijk als een gemiddelde klantenservicemedewerker. “Hallo, welkom bij Hive. Hoe kan ik je vandaag helpen?” En na vier uur zonder antwoord was hun tweede bericht: “Om je bestanden weer toegankelijk te maken, moet je 50 miljoen dollar in bitcoin betalen.”

Mediamarkt besluit dit losgeld niet te betalen en de onderhandelingen duren lang. Uiteindelijk betalen ze helemaal niets.

16. Colloseum Dental Benelux

Colloseum Dental Benelux, een organisatie met 120 tandartspraktijken in heel Nederland, moest korte tijd sluiten toen ze werden getroffen door een cyberaanval. De organisatie behandelt meer dan 600.000 patiënten per jaar.

Alle praktijken werden getroffen door een ransomware-aanval. Hierdoor konden tandartsen niet bij de dossiers van hun patiënten, wat het onmogelijk maakte om behandelingen uit te voeren. De back-ups waren niet toegankelijk.

Het gevraagde losgeld is betaald door het tandartsbedrijf. “Dit was de enige manier voor ons om het risico op korte termijn voor alle betrokkenen te minimaliseren.” Het exacte bedrag van het losgeld is niet gecommuniceerd.

17. ID-Ware

In 2022 werd het IT-bedrijf ID-Ware gehackt. ID-Ware was verantwoordelijk voor de persoonsgegevens van 3500 overheidsfunctionarissen, onder andere bedrijven. ID-Ware ontdekte dat hackers hadden geprobeerd hun systemen te infiltreren. Met ransomware versleutelden de aanvallers gevoelige data.

ID-Ware herstelde snel alle data, maar beveiligingsspecialisten ontdekten dat een groot aantal bestanden openbaar was gemaakt.

Volgens De Volkskrant is de organisatie ALPHV/BlackCat verantwoordelijk voor de aanval. Ze publiceerden veel informatie op het dark web.

De grootste cyberaanvallen in Nederland in één oogopslag

Zeventien zaken in één tabel. Lees de laatste kolom: phishing, een hergebruikt wachtwoord, een leverancier of een ontbrekende tweede factor. Elke keer dezelfde deur.

Wat deze aanvallen gemeen hebben

Zet die zeventien gevallen eens naast elkaar en je ziet dat de technologie bijna nooit het interessante deel is. Odido raakte de gegevens van miljoenen kwijt omdat een medewerker van de helpdesk een beller van ‘IT’ geloofde. Bij Hof van Twente werd met het wachtwoord Welkom2020 ingelogd. De TU Eindhoven viel ten prooi aan gelekte wachtwoorden op een VPN zonder MFA. Bij RTL werd ingebroken via de inloggegevens van een externe IT-leverancier, ook weer zonder tweede authenticatiefactor. In Maastricht en Alkmaar begon het allemaal toen één medewerker op een phishinglink klikte. ChipSoft en het screeninglab laten nog een terugkerend thema zien: je gegevens staan bij leveranciers, en hun zwakste medewerker is ook jouw probleem.

Dat komt overeen met de algemene cijfers. In het ‘Data Breach Investigations Report 2025’ van Verizon had bij ongeveer zes op de tien bevestigde inbreuken een menselijke handeling een rol gespeeld: een klik, een telefoontje dat voor waar werd aangenomen, een bestand dat naar de verkeerde persoon werd gestuurd. In het overzicht van het NCSC over ransomware in 2025 stonden 65 bij de politie gemelde aanvallen, en daaruit bleek dat een groeiend deel daarvan begon met een gehackt account in plaats van een technische kwetsbaarheid. Veel mensen denken nog steeds dat deze aanvallen alleen grote bedrijven treffen. Dat is niet zo: dezelfde groepen passen dezelfde tactiek toe bij een logistiek bedrijf met een paar dozijn medewerkers, en bij kleine bedrijven zijn er minder mensen die merken dat er iets mis is.

Wat een datalek voor je bedrijf betekent

Elk van de bovenstaande gevallen was ook een datalek in juridische zin: persoonsgegevens kwamen terecht bij mensen die daar geen toegang toe mochten hebben. Volgens de AVG maakt het niet uit hoe het is gebeurd. Een ransomware-aanval telt mee, maar dat geldt ook voor een e-mail met een klantenlijst die naar het verkeerde adres is gestuurd, een verloren laptop of een leverancier die een database open laat staan. Hieruit vloeien drie verplichtingen voort, en die gelden net zo goed voor een eenmanszaak als voor een ziekenhuis.

• Meld het binnen 72 uur bij de Autoriteit Persoonsgegevens. De termijn begint te lopen zodra je het datalek ontdekt, niet pas als je het begrijpt. Je meldt het via het meldingsportaal voor datalekken van de AP. Je hoeft het pas niet te melden als het onwaarschijnlijk is dat het datalek een risico vormt voor de betrokkenen, en je moet dan wel kunnen uitleggen waarom.
• Breng de betrokkenen op de hoogte als het risico hoog is. Gelekte inloggegevens, medische gegevens, identiteitsdocumenten, financiële gegevens of gegevens over iemands religie of afkomst worden als een hoog risico beschouwd. Vertel mensen wat er is gebeurd en wat ze kunnen doen, bijvoorbeeld een wachtwoord wijzigen of opletten voor fraude. Goed versleutelde gegevens die de aanvaller niet kan lezen, vormen hierop de belangrijkste uitzondering.
• Houd alles bij en bereid je voor op de boete. Elk beveiligingsincident, of het nu gemeld wordt of niet, wordt opgenomen in je interne incidentenregister. Als je iets niet meldt, kun je een boete krijgen van maximaal 10 miljoen euro of 2% van je wereldwijde omzet; voor het onderliggende beveiligingsprobleem ligt het maximum op 20 miljoen euro of 4%. In de praktijk zit de schade meestal ergens anders: het opnieuw opzetten van systemen, wekenlang productiviteitsverlies en klanten die je niet meer vertrouwen.

Waarom willen criminelen deze gegevens eigenlijk? Omdat het geld oplevert. Gestolen namen, adressen en burgerservicenummers worden gebruikt voor identiteitsfraude: producten bestellen op naam van iemand anders, rekeningen openen, contracten ondertekenen. Uitgelekte e-mailadressen en telefoonnummers voeden de volgende ronde van phishing en smishing, die veel overtuigender is als er een echt ordernummer of de naam van een echte dokter wordt gebruikt. En de gegevens zijn het pressiemiddel in bijna elk modern ransomware-geval: betaal, of we maken het openbaar. Het NCSC merkte op dat aanvallers in 2025 routinematig gegevens stalen voordat ze iets versleutelden, en soms de versleuteling helemaal oversloegen.

Hoe voorkom je een cyberaanval of datalek?

Geen enkele organisatie kan zichzelf volledig tegen hacks beveiligen. Maar uit de bovenstaande voorbeelden blijkt dat de meeste aanvallen al bij een van deze zes stappen zouden zijn gestopt.

1. Meervoudige authenticatie voor alles wat met het internet in verbinding staat. E-mail, VPN, remote desktop, het beheerderspaneel van je website. Zowel de TU Eindhoven als RTL werden binnengedrongen via een login zonder tweede authenticatiefactor.
2. Zorg binnen enkele dagen, niet maanden, dat je systemen weer up-to-date zijn. VPN-apparaten, firewalls en Citrix-achtige gateways zijn het eerste waar aanvallers op scannen. Het Openbaar Ministerie lag drie weken plat vanwege zo’n apparaat.
3. Schrap oude accounts en hergebruikte wachtwoorden. Controleer je domeinen op bekende wachtwoordlekken, dwing een reset af en verwijder accounts van mensen die weg zijn. Gebruik een wachtwoordbeheerder, zodat unieke wachtwoorden de makkelijkste optie zijn.
4. Back-ups waar een aanvaller niet bij kan. De back-ups van Maastricht stonden op hetzelfde netwerk en waren net als al het andere versleuteld. Bewaar minstens één kopie offline of onwijzigbaar, en test het terugzetten.
5. Zorg dat je je leveranciers kent. Vraag je IT-partner, je lab en je softwareleverancier hoe zij omgaan met MFA, het installeren van patches en het reageren op incidenten. Neem de meldingsplicht bij datalekken op in het contract. De klanten van ChipSoft kwamen er pas via de media achter.
6. Train je mensen, en blijf ze trainen. Eén awareness-sessie per jaar verandert niets aan wat iemand op een vrijdagmiddag onder druk doet. Korte, regelmatige training en realistische phishing simulaties doen dat wel. Hier komt Guardey om de hoek kijken: wekelijkse challenges van een paar minuten die het herkennen van phishing, CEO-fraude en verdachte inlogpogingen tot een gewoonte maken, met een dashboard dat je laat zien waar het risico zit. Lees meer over security awareness training.

En als het toch misgaat: zorg dat je in je eentje bent, bel voor hulp, meld het binnen 72 uur en denk goed na voordat je betaalt. De politie, het Openbaar Ministerie en de Autoriteit Persoonsgegevens geven allemaal hetzelfde advies, en de KNVB-zaak laat zien waarom: door te betalen krijg je de controle over je gegevens niet terug, je financiert alleen maar de volgende aanval.

Veelgestelde vragen over cyberaanvallen in Nederland

Wat was de grootste cyberaanval in Nederland?

Als je kijkt naar het aantal mensen dat erdoor is getroffen, is het Odido-datalek van februari 2026 veruit het grootste: gegevens van zo’n 6,2 miljoen klantaccounts, inclusief nummers van identiteitsbewijzen en bankrekeningnummers. Het gevoeligste datalek is de diefstal in 2025 van uitslagen van ruim 485.000 vrouwen uit het bevolkingsonderzoek baarmoederhalskanker. Als je kijkt naar de maatschappelijke impact, springt de ChipSoft-ransomwareaanval van april 2026 eruit, omdat die het patiëntendossier van de meeste Nederlandse ziekenhuizen in één klap platlegde.

Hoeveel datalekken worden er elk jaar in Nederland gemeld?

De Autoriteit Persoonsgegevens ontving in 2025 39.407 meldingen van datalekken, tegenover 37.839 in 2024. Ongeveer 2.428 daarvan waren het gevolg van een cyberaanval, en de AP zag een sterke stijging in het aantal lekken dat begon met phishing. De meeste meldingen komen nog steeds voort uit gewone fouten, zoals gegevens die naar de verkeerde ontvanger zijn gestuurd.

Moet ik een datalek melden?

Ja, tenzij het onwaarschijnlijk is dat het datalek enig risico vormt voor de betrokkenen. Meld het binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, breng de betrokkenen op de hoogte als het risico voor hen groot is, en noteer elk datalek in je interne register, ook de gevallen die je niet hebt gemeld.

Moet je het losgeld betalen na een ransomware-aanval?

De Nederlandse politie, het Openbaar Ministerie en de Autoriteit Persoonsgegevens raden het af. Betalen biedt geen garantie dat gestolen gegevens worden gewist, en het financiert de volgende aanval. Organisaties die offline back-ups hadden getest, zoals Hof van Twente en Mediamarkt, konden weigeren, en Odido weigerde ook, hoewel de gegevens daarna toch werden gepubliceerd. Degenen die dat niet deden, zoals de KNVB en Colloseum Dental, hadden het gevoel dat ze geen keuze hadden.

Zijn kleine bedrijven ook het doelwit van cyberaanvallen?

Ja, en dat wordt steeds erger. Ransomwaregroepen automatiseren hun zoektocht naar kwetsbare VPN’s en uitgelekte wachtwoorden, dus de grootte van een bedrijf maakt voor hen nauwelijks uit. Van der Helm Logistics en Colloseum Dental staan op deze lijst niet omdat ze bekend waren, maar omdat ze bereikbaar waren.

De zeventien organisaties op deze lijst hadden budgetten, IT-afdelingen en, in de meeste gevallen, een beveiligingsbeleid op papier. Wat ze op het moment dat het er echt toe deed niet hadden, was een collega die even aarzelde voordat hij klikte, een inlog die om een tweede factor vroeg, of een back-up waar de aanvaller niet bij kon. Dat zijn geen enterprise-problemen. Het zijn precies de dingen die een bedrijf van twintig mensen deze maand kan regelen, en de reden dat deze lijst niet langer hoeft te worden.