Een virus dat een antivirus benut, een verbonden object dat de deur opent naar het bedrijfsnetwerk, een derde partij webcomponent die dient als exfiltratie relais: recente bedreigingen richten zich niet langer op een geïsoleerde perimeter. Ze doorkruisen de keten van vertrouwen van eind tot eind. Het begrijpen van de mechanismen achter deze aanvallen stelt ons in staat om het nieuws over cyberbeveiliging beter te interpreteren en om de correcties te anticiperen die prioriteit moeten krijgen.
Zero-day op verdedigingshulpmiddelen: wanneer het antivirus de kwetsbaarheid wordt
Een zero-day verwijst naar een kwetsbaarheid die wordt geëxploiteerd voordat er een oplossing beschikbaar is. De term komt voort uit het feit dat de uitgever nul dagen heeft om zijn gebruikers te beschermen.
In 2026 was Microsoft Defender het doelwit van een zero-day genaamd BlueHammer, die een lokale privilegeverhoging mogelijk maakte. Ransomwaregroepen hebben deze kwetsbaarheid geëxploiteerd voordat de oplossing werd gepubliceerd. Het paradox is duidelijk: het hulpmiddel dat bedoeld is om de werkplek te beschermen, wordt het aanvalsvector.
Dit soort scenario’s bemoeilijkt de prioritering van correcties voor bedrijven. Traditioneel geven beveiligingsteams prioriteit aan kwetsbaarheden op diensten die aan internet zijn blootgesteld. Wanneer de kwetsbaarheid een beveiligingscomponent raakt die al op elke werkplek is geïmplementeerd, is de aanvalsvector het volledige park. Het is mogelijk om het nieuws over Viruslab te ontdekken om deze zero-day waarschuwingen te volgen naarmate ze worden gepubliceerd.
KEV-catalogus en BOD 26-04-richtlijn: het kader voor remediatie verscherpt
De CISA (Amerikaanse cyberbeveiligingsagentschap) onderhoudt een catalogus genaamd KEV (Known Exploited Vulnerabilities). Deze catalogus bevat kwetsbaarheden waarvan de actieve exploitatie is bevestigd. Elke vermelding gaat gepaard met een verplichte remediatietermijn voor federale agentschappen.
De richtlijn BOD 26-04, gepubliceerd in 2026, heeft deze verplichting versterkt door zich specifiek te richten op activa die aan internet zijn blootgesteld. De verandering is operationeel: we gaan van algemene aanbevelingen naar een meetbare verplichting, met een opgelegd correctieschema.
Voor Europese bedrijven dient deze catalogus als een indirecte referentie. De ANSSI in Frankrijk raadt aan om de KEV te volgen en deze op te nemen in de processen voor kwetsbaarheidsbeheer, zelfs zonder directe wettelijke verplichting. Het activiteitenrapport van Cybermalveillance.gouv.fr heeft bovendien een significante stijging van de verzoeken om hulp aangetoond, wat bevestigt dat cyberaanvallen toenemen op het grondgebied.
Waarom de KEV de prioritering van correcties verandert
Zonder referentiecatalogus classificeert een beveiligingsteam kwetsbaarheden op basis van CVSS-score (technische ernst). Het probleem: een hoge score betekent niet noodzakelijkerwijs actieve exploitatie. De KEV draait de logica om. Een gematigde kwetsbaarheid die actief wordt geëxploiteerd, krijgt prioriteit boven een theoretische kritieke kwetsbaarheid.
Deze aanpak dwingt ons om twee informatiestromen te combineren: de bulletin van de uitgever (Microsoft, Cisco, enz.) en de KEV-lijst die door de CISA wordt bijgewerkt. KMO’s zonder een toegewijd team kunnen vertrouwen op kwetsbaarheidsbeheertools die deze catalogus rechtstreeks integreren.
IoT-objecten en webcomponenten: de blinde vlekken in de keten van vertrouwen
Recente aanvallen beperken zich niet langer tot servers of werkstations. Twee categorieën activa blijven regelmatig ondergecorrigeerd: verbonden objecten (IoT) en derde partij webcomponenten (JavaScript-bibliotheken, npm/yarn-pakketbeheerders).
Een IoT-object, of het nu een bewakingscamera, een industriële sensor of een netwerkprinter is, werkt vaak met firmware die zelden wordt bijgewerkt. Het besturingssysteem is minimaal, en de authenticatiemechanismen zijn soms niet aanwezig. Een niet-gesegmenteerd IoT-apparaat op het netwerk biedt laterale toegang tot de hele infrastructuur.
Wat betreft het web hebben kritieke kwetsbaarheden in npm en yarn aanvallen door afhankelijkheidsinjectie vergemakkelijkt. Het principe: een aanvaller publiceert een kwaadaardig pakket waarvan de naam lijkt op een legitieme bibliotheek. De ontwikkelaar installeert het per ongeluk, en de kwaadaardige code wordt uitgevoerd in de productieomgeving.
Correcties prioriteren op drie gelijktijdige fronten
De uitdaging voor bedrijven is om deze drie fronten (infrastructuur, web, IoT) aan te pakken met beperkte middelen. Een realistische prioriteringsmatrix is gebaseerd op drie kruisverweven criteria:
- De net expose van het activum: een dienst die toegankelijk is vanaf internet wordt eerder gecorrigeerd dan een intern geïsoleerd apparaat
- De aanwezigheid in de KEV-catalogus of een Europese equivalent: een bevestigde actieve exploitatie triggert een correctie binnen enkele dagen, niet enkele weken
- De mogelijkheid tot segmentatie: als een IoT-object niet snel kan worden bijgewerkt, het isoleren op een speciaal VLAN vermindert het risico van laterale verspreiding
Deze risicobenadering vervangt de methode op basis van pure technische score. Het vereist een actuele inventaris van activa, wat het zwakke punt blijft van veel gemeenten en KMO’s.
Ransomware en gegevensexfiltratie: de aanvalstechnieken convergeren
Ransomwaregroepen combineren nu versleuteling en exfiltratie. Het klassieke schema (bestanden versleutelen, losgeld vragen) wordt aangevuld met een dreiging om de gestolen gegevens openbaar te maken. Deze dubbele afpersing verhoogt de druk op de slachtoffers, met name gemeenten die persoonlijke gegevens van hun inwoners beheren.
Het gebruik van kunstmatige intelligentie door aanvallers versnelt de aanpassing van malware. Gedocumenteerde gevallen tonen aan dat generatieve AI-tools worden gebruikt om automatisch de code van kwaadaardige software te wijzigen om detectiesignaturen te omzeilen. De malware muteert sneller dan de handtekeningenbases worden bijgewerkt.
Dit fenomeen raakt ook de blootgestelde API’s. Een recent geval toonde aan dat een API van een AI-leverancier kon worden misbruikt om gegevens te exfiltreren. De legitieme dienst dient dan als uitgangskanaal, wat de detectie door traditionele firewalls zeer moeilijk maakt, aangezien het verkeer lijkt op normaal gebruik.
Gegevens beschermen buiten de netwerkperimeter
Alleen perimeterbescherming is niet meer voldoende. Bedrijven die met gevoelige gegevens werken, moeten de uitgaande stromen net zo goed in de gaten houden als de inkomende stromen. Het versleutelen van gegevens in rust en tijdens transport, gecombineerd met gedragsdetectie van abnormale toegang, vormt een fundament dat beter is afgestemd op de huidige bedreigingen.
- Ongebruikelijke API-verzoeken in volume of bestemming monitoren
- Het principe van de minste privileges toepassen op elk serviceaccount
- Regelmatig de herstelbaarheid van back-ups testen om hun integriteit te valideren in het geval van een ransomware-scenario
Het bedreigingslandschap in 2026 wordt gekenmerkt door deze convergentie: dezelfde groep exploiteert een zero-day op een verdedigingshulpmiddel, draait naar een slecht geconfigureerd IoT-object, en exfiltreert vervolgens via een legitieme API. De reactie vereist een uitgebreide inventaris van activa, een prioritering gebaseerd op daadwerkelijke exploitatie, en een netwerksegmentatie die de verspreiding beperkt, zelfs wanneer de eerste barrière bezwijkt.