12 ransomware voorbeelden: de aanvallen die veranderden hoe bedrijven zich verdedigen

In het kort: Ransomware is malware die bestanden of systemen van een organisatie op slot zet en losgeld eist om ze vrij te geven. De twaalf ransomware voorbeelden hieronder lopen van WannaCry in 2017 tot de aanval op ziekenhuisleverancier ChipSoft in 2026, met vijf Nederlandse zaken en één Belgische. De ingang is meestal alledaags: een phishingmail, een wachtwoord dat je kunt raden, een account zonder meerfactorauthenticatie, een helpdesk die een wachtwoord reset voor de verkeerde persoon. Het losgeld is zelden de echte schade. Dat zijn de weken van stilstand en herbouw.

Wat ransomware is, en wat deze zaken leren

Voor de definitie en de varianten lees je wat is ransomware. Een bredere lijst van Nederlandse incidenten staat in de grootste cyberaanvallen in Nederland. Drie dingen vallen op in de twaalf zaken:

• Aanvallers loggen vaker in dan dat ze inbreken. Een wachtwoord of een klik is meestal de eerste stap.
• Er zit tijd tussen binnenkomst en versleuteling. Negen dagen bij Change Healthcare, 69 bij de Universiteit Maastricht.
• Betalen maakt er geen eind aan. De KNVB betaalde en wist daarna nog niet zeker of de data veilig was.

De 12 ransomware voorbeelden in één overzicht

De 12 ransomware voorbeelden uitgewerkt

1. WannaCry (2017): de worm die de Britse zorg trof

Wat er gebeurde: Op 12 mei 2017 verspreidde WannaCry zich via Windows systemen die niet waren bijgewerkt. Europol telde meer dan 200.000 slachtoffers in minstens 150 landen. In Engeland werden minstens 81 van de 236 zorgorganisaties van de NHS geraakt, concludeerde de Britse rekenkamer.

De les: Geen enkele NHS organisatie betaalde. De besmette systemen misten updates of werden niet meer ondersteund. Op tijd updaten blijft dus de goedkoopste verdediging.

2. NotPetya en Maersk (2017): 45.000 pc’s in tien dagen

Wat er gebeurde: In juni 2017 kwam NotPetya binnen via een kwaadaardige update van Oekraïense boekhoudsoftware. Rederij Maersk was nevenschade en installeerde in tien dagen 4.000 servers, 45.000 pc's en 2.500 applicaties opnieuw, vertelde de voorzitter. Kosten: 250 tot 300 miljoen dollar.

De les: De ingang was een vertrouwde update. Netwerksegmentatie en offline back-ups bepalen hoe lang je plat ligt.

3. Universiteit Maastricht (2019): 69 dagen van phishingmail tot losgeldbrief

Wat er gebeurde: Op 15 en 16 oktober 2019 werden twee phishingmails geopend op twee werkplekken. Op 23 december versleutelde de Clop ransomware 267 Windows servers. De universiteit betaalde 30 bitcoin, ongeveer € 200.000. In 2022 haalde de politie een deel terug, dat toen ongeveer € 500.000 waard was.

De les: De aanvallers zaten 69 dagen binnen. Eén gemelde e-mail in die periode had de afloop kunnen veranderen.

4. Hof van Twente (2020): Welkom2020

Wat er gebeurde: Het beheerderswachtwoord van deze gemeente was "Welkom2020", en door een aanpassing van de firewall in november 2020 stond de server open voor het internet. De aanvallers vernietigden de back-ups. De gemeente betaalde niet; het herstel kostte ongeveer € 4 miljoen.

De les: De rechter wees later de gemeente zelf als verantwoordelijke aan. Een raadbaar wachtwoord zonder bruikbare back-up is de duurste combinatie.

5. Colonial Pipeline (2021): één oud VPN account

Wat er gebeurde: Op 7 mei 2021 kwam de groep DarkSide binnen bij de Amerikaanse brandstofleiding via een oud VPN account met een uitgelekt wachtwoord en zonder meerfactorauthenticatie. Colonial legde de pijpleiding meerdere dagen stil en betaalde 4,4 miljoen dollar. Het Amerikaanse ministerie van Justitie haalde 2,3 miljoen dollar terug.

De les: Het account hoorde niet meer in gebruik te zijn. Ruim oude accounts op en eis MFA op elke externe login.

6. Kaseya (2021): één leverancier, tot 1.500 slachtoffers

Wat er gebeurde: Op 2 juli 2021 misbruikte de groep REvil een lek in VSA van Kaseya, software waarmee IT dienstverleners de systemen van hun klanten beheren. Via die dienstverleners bereikte de ransomware 800 tot 1.500 bedrijven. REvil eiste 70 miljoen dollar.

De les: Nederlandse onderzoekers van DIVD hadden de lekken al bij Kaseya gemeld. Weet welke leveranciers beheerderstoegang tot je systemen hebben.

7. VDL Groep (2021): 105 bedrijven stil

Wat er gebeurde: In oktober 2021 trof een aanval het Eindhovense industrieconcern VDL en zijn 105 bedrijven, waaronder autofabriek NedCar. Het duurde meer dan een maand voordat elk onderdeel weer produceerde. De politie koppelde de aanval aan malware van Conti; in 2024 werd een verdachte opgepakt in Kyiv.

De les: VDL heeft nooit gezegd of het betaalde. Voor een maakbedrijf zit de schade in de stilstand, dus oefen die.

8. Stad Antwerpen (2022): tot € 70 miljoen

Wat er gebeurde: In de nacht van 5 op 6 december 2022 trof de groep Play de stad Antwerpen en maakte meer dan 500 GB aan data buit. De stad zegt nooit betaald te hebben. Het stadsbestuur schatte de kosten op maximaal € 70 miljoen.

De les: De Vlaamse Toezichtcommissie stelde vast dat beveiligingsupdates ontbraken, tweestapsverificatie te weinig was ingevoerd en het netwerk slecht was gesegmenteerd. Het gat zat in de basis.

9. KNVB (2023): betalen zonder gerust te zijn

Wat er gebeurde: In april 2023 maakte de groep LockBit persoonsgegevens buit bij de KNVB, naar verluidt nadat een medewerker in een phishingmail was getrapt. Volgens RTL Nieuws lag de eis boven € 1 miljoen. In september bevestigde de KNVB dat er was betaald, zonder het bedrag te noemen.

De les: De bond zei zelf niet zeker te weten of de gegevens binnenskamers blijven. Met een betaling koop je een belofte van criminelen.

10. Change Healthcare (2024): geen MFA op één portaal

Wat er gebeurde: Op 12 februari 2024 logden aanvallers met gestolen inloggegevens in op een portaal voor toegang op afstand van de Amerikaanse zorgbetalingsverwerker Change Healthcare. Het portaal had geen meerfactorauthenticatie. Negen dagen later werd de ransomware van ALPHV/BlackCat uitgerold. Moederbedrijf UnitedHealth bevestigde dat er losgeld was betaald en meldde 872 miljoen dollar aan kosten over het eerste kwartaal.

De les: Eén ontbrekende controle was genoeg. Gegevens van 192,7 miljoen mensen waren geraakt.

11. Marks & Spencer (2025): een wachtwoordreset voor de verkeerde persoon

Wat er gebeurde: Op 17 april 2025 deden aanvallers zich voor als iemand die voor M&S werkte en lieten ze een derde partij een wachtwoord resetten, vertelde voorzitter Archie Norman aan het Britse parlement. Daarna volgde de DragonForce ransomware. Online bestellen lag wekenlang stil en de halfjaarwinst daalde van 391,1 miljoen naar 3,4 miljoen pond.

De les: Er was geen technisch lek nodig. Een helpdesk heeft een verificatiestap nodig waar een overtuigende beller zich niet langs kan praten.

12. ChipSoft (2026): ransomware bij de leverancier van patiëntendossiers

Wat er gebeurde: Op 7 april 2026 bevestigde Z-CERT, het securitycentrum voor de zorg, een ransomware aanval op ChipSoft, dat de meeste Nederlandse ziekenhuizen van software voor patiëntendossiers voorziet. Elf ziekenhuizen haalden software van ChipSoft offline. Er zijn patiëntgegevens van een substantieel aantal zorgaanbieders gestolen; ChipSoft meldde later dat publicatie was voorkomen.

De les: De ziekenhuizen zelf waren niet het doelwit, en toch raakte hun dienstverlening verstoord. Maak een plan voor werken zonder een cruciale leverancier.

Hoe een ransomware aanval verloopt

De zaken volgen dezelfde vijf stappen. Ons artikel over de fases van een cyberaanval gaat er dieper op in.

1. Eerste toegang. Een phishingmail, een gestolen of geraden wachtwoord, of een systeem dat niet is bijgewerkt.
2. Verspreiding in het netwerk. De aanvallers verkennen het netwerk en verzamelen meer rechten, vaak dagen of weken lang.
3. Data wegsluizen. Ze kopiëren data naar buiten.
4. Versleuteling. Bestanden, servers en back-ups gaan op slot, vaak 's nachts of rond een feestdag.
5. Dubbele afpersing. Betalen voor de sleutel, en nog eens betalen om de gestolen data offline te houden. In 2025 stal de groep Nova gegevens van ongeveer 715.000 vrouwen uit het bevolkingsonderzoek bij laboratorium Clinical Diagnostics en eiste € 1,1 miljoen.

Ransomware families en ransomware-as-a-service

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce: de namen in deze zaken zijn eerder merken dan vaste teams. In het model van ransomware-as-a-service verhuren ontwikkelaars de software en voeren partners de aanval uit voor een deel van het losgeld. In Nederland en België publiceerde LockBit sinds 2020 de meeste slachtoffers, terwijl Qilin het afgelopen jaar de actiefste groep was, volgens de Cyber Dreigingsradar 2026.

Wat de 12 zaken gemeen hebben

• Een alledaagse ingang. Phishing in Maastricht, een zwak wachtwoord in Hof van Twente, geen MFA bij Colonial en Change Healthcare, een helpdesk bij M&S.
• Leveranciers als route. Kaseya, ChipSoft en de software update achter NotPetya raakten klanten die zelf niets fout deden.
• Stilstand kost meer dan losgeld. Maersk, VDL, Antwerpen en M&S laten het zien.

Wat medewerkers tegen ransomware kunnen doen

In minstens de helft van de twaalf zaken liep de eerste stap via een persoon of een wachtwoord. Daarmee zijn vier gewoontes meer waard dan de meeste tools:

• Meld een verdachte e-mail of een verkeerde klik meteen. Snelheid telt zwaarder dan de schuldvraag. Ons overzicht van soorten phishing aanvallen laat zien waar je op let.
• Gebruik op elk werkaccount een uniek wachtwoord en MFA.
• Verifieer verzoeken om een wachtwoordreset of toegang op afstand, ook als de beller klinkt als IT.
• Installeer updates als erom gevraagd wordt.

De technische kant, van back-ups tot segmentatie, staat in ransomware voorkomen. Welke organisaties het meeste risico lopen, lees je in risicofactoren voor ransomware aanvallen.

Veelgestelde vragen

Wat is een voorbeeld van een ransomware aanval?

WannaCry in 2017, met meer dan 200.000 slachtoffers in minstens 150 landen. Een Nederlands voorbeeld is de Universiteit Maastricht, die in 2019 30 bitcoin betaalde nadat 267 servers waren versleuteld.

Wat zijn bekende ransomware voorbeelden in Nederland?

De Universiteit Maastricht (2019), de gemeente Hof van Twente (2020), VDL Groep (2021), de KNVB (2023) en ChipSoft (2026). In België is de aanval op de stad Antwerpen (2022) het best gedocumenteerd.

Hoe beginnen de meeste ransomware aanvallen?

Met een phishingmail, een gestolen of zwak wachtwoord op een account zonder meerfactorauthenticatie, of een systeem dat niet is bijgewerkt.

Moet je het losgeld betalen?

De zaken laten beide routes zien. De Universiteit Maastricht en de KNVB betaalden; Hof van Twente en Antwerpen deden dat niet en bouwden opnieuw op. Betalen geeft geen garantie dat data wordt gewist, en het financiert de volgende aanval.