Nobody steals anything and nobody gets in. Our website, our portal and our email simply stop answering — in plain language: four ways an attacker takes us offline, what each costs, and the one control that keeps the lights on. Niemand steelt iets en niemand komt binnen. Onze website, ons portaal en onze e-mail houden simpelweg op met antwoorden — in gewone taal: vier manieren waarop een aanvaller ons offline haalt, wat elk kost, en welke maatregel het licht aan houdt.
A distributed denial of service attack is not a break-in. It is a crowd. Hundreds of thousands of hijacked devices — home routers, cameras, rented servers — all send traffic to us at once. Our internet connection has a fixed size; theirs, combined, is far larger. The line fills up with junk and the genuine customer trying to place an order never reaches us. Nothing is breached, nothing is encrypted, and yet we are gone. The scale keeps growing: Cloudflare reported a record 31.4 Tbps attack from the Aisuru-Kimwolf botnet in Q4 2025, and 805 attacks above 1 Tbps in Q2 2026 alone.
Business impact: every hour offline is lost orders, missed logins, staff who cannot work, and customers who quietly try the competitor. The uncomfortable part: no amount of security inside our building helps. The attack lands before our firewall ever sees it. Only capacity in front of us — someone else's, bigger than any attacker — absorbs it.
Een distributed denial of service-aanval is geen inbraak. Het is een menigte. Honderdduizenden gekaapte apparaten — thuisrouters, camera's, gehuurde servers — sturen tegelijk verkeer naar ons. Onze internetverbinding heeft een vaste maat; die van hen, opgeteld, is veel groter. De lijn loopt vol met rommel en de echte klant die een bestelling wil plaatsen bereikt ons nooit. Er is niets gekraakt, niets versleuteld, en toch zijn we weg. De schaal groeit: Cloudflare meldde in het vierde kwartaal van 2025 een record van 31,4 Tbps vanuit het botnet Aisuru-Kimwolf, en alleen al in het tweede kwartaal van 2026 805 aanvallen boven 1 Tbps.
Bedrijfsimpact: elk uur offline is gemiste omzet, mislukte inlogs, medewerkers die niet kunnen werken, en klanten die stilletjes de concurrent proberen. Het ongemakkelijke deel: geen enkele beveiliging binnen ons gebouw helpt hier. De aanval slaat toe voordat onze firewall hem ooit ziet. Alleen capaciteit vóór ons — van een ander, groter dan welke aanvaller ook — vangt hem op.
AI adds no extra bandwidth to an attacker who already has enough hijacked devices, and it does not widen our pipe either. The flood succeeds purely through device count and rented capacity, not through tactics that intelligence could sharpen.AI geeft een aanvaller die al genoeg gekaapte apparaten heeft geen extra bandbreedte, en het vergroot onze lijn ook niet. De overspoeling slaagt puur door het aantal apparaten en gehuurde capaciteit, niet door tactiek die intelligentie zou kunnen aanscherpen.
AI web-crawling bots that scrape sites to train language models now generate enough sustained, legitimate-looking traffic on their own to add real strain to a site's capacity, without any attacker involved, just an unmanaged crawling feature left unchecked.AI-webcrawlers die sites afspeuren om taalmodellen te trainen genereren inmiddels op zichzelf genoeg aanhoudend, legitiem ogend verkeer om echte druk te zetten op de capaciteit van een site, zonder aanvaller, gewoon een ongeremde crawlfunctie.
Machine learning at the scrubbing provider tells flood traffic and AI crawlers apart from real customers in real time and filters it out before it reaches our line. The actual fix stays rented capacity larger than any attack.Machine learning bij de scrubbing-provider onderscheidt aanvalsverkeer en AI-crawlers in real time van echte klanten en filtert het weg voordat het onze lijn bereikt. De echte oplossing blijft gehuurde capaciteit groter dan elke aanval.
The second kind is quieter and harder to spot. The traffic is small, but every request is expensive for us: a product search, a login attempt, a “forgot password” form, a report download. Each one looks like a legitimate visitor, and each one makes our servers do real work. A modest number of bots asking the most expensive questions grinds the application to a halt while the connection itself looks almost idle.
Business impact: the site is “up” on every dashboard and unusable for every customer. Cloud bills spike as systems scale to serve the fake crowd. Because the requests look genuine, blocking them blindly also blocks real customers. What usually helps is telling humans from bots and capping the expensive actions — not more servers.
De tweede soort is stiller en moeilijker te herkennen. Het verkeer is klein, maar elk verzoek is duur voor ons: een productzoekopdracht, een inlogpoging, een “wachtwoord vergeten”-formulier, een rapportdownload. Elk verzoek lijkt op een echte bezoeker, en elk verzoek laat onze servers echt werk doen. Een bescheiden aantal bots dat de duurste vragen stelt legt de applicatie plat, terwijl de verbinding zelf bijna leeg lijkt.
Bedrijfsimpact: de site is “in de lucht” op elk dashboard en onbruikbaar voor elke klant. De cloudrekening schiet omhoog omdat systemen opschalen voor het nepbezoek. Omdat de verzoeken echt lijken, blokkeert blind blokkeren ook echte klanten. Wat meestal helpt, is mensen van bots onderscheiden en de dure handelingen begrenzen — niet meer servers.
AI-driven bot frameworks generate human-like mouse movement, typing rhythm and browsing paths that pass behavioural checks, letting a modest botnet pose as real shoppers hammering search and login without being filtered out early.AI-gestuurde botframeworks bootsen menselijke muisbewegingen, typritme en klikpaden na die gedragscontroles doorstaan, waardoor een bescheiden botnet zich als echte klanten kan voordoen en zoek- en loginpagina's belaagt zonder er vroeg uitgefilterd te worden.
Automated AI shopping and scalper agents use real customer logins to hit checkout and search pages thousands of times a minute, misusing a legitimate feature at industrial scale instead of breaking into anything.Geautomatiseerde AI-winkel- en scalperagents gebruiken echte klantaccounts om winkelmandje- en zoekpagina's duizenden keren per minuut te belasten, waarbij een legitieme functie op industriële schaal wordt misbruikt zonder ergens in te breken.
Bot-management tools use AI to score behavioural signals in real time and separate genuine shoppers from automated traffic. The control that actually stops the overload remains a hard limit on the most expensive actions.Botbeheertools gebruiken AI om gedragssignalen in real time te scoren en echte klanten van geautomatiseerd verkeer te scheiden. De maatregel die de overbelasting daadwerkelijk stopt blijft een harde grens op de duurste handelingen.
Before a customer reaches our website, their device asks the internet's address book, DNS, where we are. If the company that answers that question is under attack, or simply has an outage, our website, our email and our customer app all vanish at once, even though every one of them is running perfectly. The same applies to any single shared piece: one hosting provider, one login service, one payment gateway.
Business impact: this is the failure that takes down everything in one go, and it is usually invisible on the risk register because “we didn't buy it, it just came with the domain”. Two independent DNS providers, and a written map of which supplier every customer-facing service depends on, turn a total blackout into a partial one.
Voordat een klant onze website bereikt, vraagt het apparaat aan het adresboek van internet, DNS, waar wij zijn. Als het bedrijf dat die vraag beantwoordt wordt aangevallen, of simpelweg een storing heeft, verdwijnen onze website, onze e-mail en onze klantenapp in één keer, terwijl elk daarvan perfect draait. Hetzelfde geldt voor elk ander gedeeld onderdeel: één hostingprovider, één inlogdienst, één betaaldienst.
Bedrijfsimpact: dit is de storing die alles tegelijk neerhaalt, en hij staat meestal niet in het risicoregister omdat “we het niet gekocht hebben, het zat bij het domein”. Twee onafhankelijke DNS-providers, en een geschreven kaart van welke leverancier elke klantgerichte dienst nodig heeft, maken van een totale black-out een gedeeltelijke.
Knocking the DNS provider offline is a matter of raw capacity and infrastructure position, not attacker skill. AI does not shrink the internet's dependency chain or make one shared provider's outage more likely.Een DNS-provider offline krijgen is een kwestie van pure capaciteit en infrastructuurpositie, niet van vaardigheid. AI verkleint de afhankelijkheidsketen van internet niet en maakt de storing van één gedeelde provider niet waarschijnlijker.
AI-assisted reconnaissance tools automatically map which supplier sits behind every customer-facing service, from hosting to login to payments, handing an attacker the single-point-of-failure diagram we never wrote down ourselves.AI-ondersteunde verkenningstools brengen automatisch in kaart welke leverancier achter elke klantgerichte dienst zit, van hosting tot login tot betalen, en geven een aanvaller zo de single-point-of-failure-kaart die wij zelf nooit maakten.
AI-assisted asset-discovery tools compile a dependency map far faster than a manual survey, showing which single supplier sits behind every service. The control that actually prevents a total blackout is still a second, independent DNS provider.AI-ondersteunde asset-discoverytools stellen veel sneller dan een handmatige inventarisatie een afhankelijkheidskaart samen, die laat zien welke ene leverancier achter elke dienst zit. De maatregel die een totale black-out echt voorkomt blijft een tweede, onafhankelijke DNS-provider.
Attack capacity is rented by the hour, so attackers pick the hour that hurts most: the product launch, the ticket sale, the last week of the quarter, the Saturday before Christmas. The pattern is a short demonstration attack, then an email: pay, or it continues. Paying proves we pay. It puts us on a list, and the next demand arrives before the next peak. Not every attacker wants money: pro-Russian hacktivists such as NoName057(16) knocked Dutch municipal and provincial websites offline around the NATO summit in June 2025 (NCSC-NL).
Business impact: the decision about paying is a board decision, and it is best made before the email arrives, not during. With the mitigation from steps 01 to 03 in place and tested, the answer is a calm no. Without it, the answer is being argued in a crisis call at 03:00 while the revenue counter sits at zero.
Aanvalscapaciteit wordt per uur gehuurd, dus aanvallers kiezen het uur dat het meest pijn doet: de productlancering, de kaartverkoop, de laatste week van het kwartaal, de zaterdag voor kerst. Het patroon is een korte proefaanval, daarna een e-mail: betaal, of het gaat door. Betalen bewijst dat we betalen. Het zet ons op een lijst, en de volgende eis komt vóór de volgende piek. Niet elke aanvaller wil geld: pro-Russische hacktivisten zoals NoName057(16) legden rond de NAVO-top in juni 2025 websites van gemeenten en provincies plat (NCSC-NL).
Bedrijfsimpact: de beslissing over betalen is een directiebeslissing, en die neemt u het best vóór de e-mail komt, niet tijdens. Met de maatregelen uit stap 01 tot 03 op hun plek en getest, is het antwoord een rustig nee. Zonder die maatregelen wordt het antwoord bevochten in een crisisoverleg om 03:00 terwijl de omzetteller op nul staat.
AI drafts a fluent, tailored ransom note in seconds and helps attackers track public calendars of product launches and sales events across many targets at once, timing the demo attack for maximum pressure.AI stelt in seconden een vloeiende, op maat gemaakte losgeldbrief op en helpt aanvallers bij veel doelwitten tegelijk publieke agenda's van lanceringen en verkoopmomenten te volgen, zodat de proefaanval getimed wordt voor maximale druk.
AI scrapes our own press releases and investor updates to size the demand precisely, and personalises the threat with figures pulled straight from what the company itself has published about the sale or launch.AI doorzoekt onze eigen persberichten en beleggersupdates om de eis precies te bepalen, en personaliseert de dreiging met cijfers die rechtstreeks komen uit wat het bedrijf zelf over de verkoop of lancering publiceerde.
AI can monitor dark-web and paste-site chatter for early signs a demand is coming and help judge whether a note is credible. The decision itself does not change: a pre-agreed no-pay answer and a tested runbook.AI kan dark-web- en paste-siteverkeer volgen op vroege signalen van een dreigende eis en helpen beoordelen of een brief geloofwaardig is. Het besluit zelf verandert niet: een vooraf afgesproken nee en een getest draaiboek.
| Control | Stops | In one line |
|---|---|---|
| CDN + scrubbing | Flood (01) | Everything public sits behind a provider whose capacity dwarfs any attack. Junk is filtered before it reaches our connection. In the Netherlands, NaWas and the Anti-DDoS Coalitie are options worth a look. |
| Rate limiting | Exhaust (02) | A cap on how often one visitor may search, log in or download. Humans never notice; bots hit the wall. |
| Bot management | Exhaust (02) | Telling real browsers from scripted ones, so the expensive pages serve customers only. |
| Two DNS providers | DNS (03) | Our address is answered by two independent companies. One goes dark, customers still find us. |
| Dependency map | DNS (03) | One page listing which supplier each customer-facing service relies on. Anything appearing under every service is a single point of failure. |
| Headroom + limits | Exhaust (02) | Enough spare capacity to absorb a spike, and a ceiling on autoscaling so the attack cannot turn into a cloud bill. |
| Failover page | All | A static “we are here, call this number” page that can be switched on in minutes and does not depend on the systems under attack. Tested, not assumed. |
| Runbook | All | Provider emergency numbers, who is authorised to enable mitigation, what the SLA promises, and who tells customers. Rehearsed once a year. |
| No-pay decision | Extortion (04) | Agreed by the board in advance and written down. The email then triggers the runbook, not a debate. |
| Maatregel | Stopt | In één zin |
|---|---|---|
| CDN + scrubbing | Overspoelen (01) | Alles wat publiek is, staat achter een provider met capaciteit die elke aanval overtreft. Rommel wordt gefilterd voordat die onze verbinding bereikt. In Nederland zijn NaWas en de Anti-DDoS Coalitie het bekijken waard. |
| Rate limiting | Uitputten (02) | Een grens aan hoe vaak één bezoeker mag zoeken, inloggen of downloaden. Mensen merken er niets van; bots lopen tegen de muur. |
| Botbeheer | Uitputten (02) | Echte browsers onderscheiden van scripts, zodat de dure pagina's alleen klanten bedienen. |
| Twee DNS-providers | DNS (03) | Ons adres wordt beantwoord door twee onafhankelijke bedrijven. Valt er één weg, dan vinden klanten ons nog steeds. |
| Afhankelijkheidskaart | DNS (03) | Eén pagina met per klantgerichte dienst de leveranciers waarvan hij afhangt. Wat onder élke dienst terugkomt, is een single point of failure. |
| Marge + plafond | Uitputten (02) | Genoeg reservecapaciteit om een piek op te vangen, en een plafond op automatisch opschalen zodat de aanval geen cloudrekening wordt. |
| Noodpagina | Alles | Een statische pagina “we zijn er, bel dit nummer” die binnen minuten aan kan en niet afhangt van de aangevallen systemen. Getest, niet aangenomen. |
| Draaiboek | Alles | Noodnummers van providers, wie de mitigatie mag inschakelen, wat de SLA belooft, en wie de klanten informeert. Eén keer per jaar geoefend. |
| Niet-betalen-besluit | Afpersing (04) | Vooraf door de directie genomen en vastgelegd. De e-mail start dan het draaiboek, niet een discussie. |
Attack capacity is rented by the hour and needs no access to us. Anything with a public address can be hit, and most companies are, sooner or later.Aanvalscapaciteit wordt per uur gehuurd en vraagt geen toegang tot ons. Alles met een publiek adres kan geraakt worden, en de meeste bedrijven worden dat vroeg of laat.
Hours to days of lost revenue, staff and customers locked out, cloud bills from autoscaling, and an extortion demand. No data is lost, so recovery is usually fast, though it is worth checking for a parallel intrusion: DDoS is sometimes a smokescreen.Uren tot dagen omzetverlies, medewerkers en klanten buitengesloten, cloudkosten door opschalen, en een afpersingseis. Er gaat geen data verloren, dus herstel is meestal snel, maar controleer op een gelijktijdige inbraak: DDoS is soms een rookgordijn.
Behind a scrubbing provider with dual DNS, rate limiting and a tested failover page, most attacks become a line in a monthly report rather than an outage.Achter een scrubbing-provider met dubbele DNS, rate limiting en een geteste noodpagina worden de meeste aanvallen een regel in een maandrapport in plaats van een storing.
Executes through IT and the hosting and network suppliers. The board owns the revenue-per-hour figure and the decision never to pay.Uitvoering via IT en de hosting- en netwerkleveranciers. De directie is eigenaar van het omzet-per-uur-getal en van het besluit om nooit te betalen.
% of public services behind the scrubbing provider · number of independent DNS providers · minutes to switch on the failover page in the last test · revenue lost per hour offline on the peak day.% publieke diensten achter de scrubbing-provider · aantal onafhankelijke DNS-providers · minuten om de noodpagina in te schakelen bij de laatste test · omzetverlies per uur offline op de piekdag.
“A denial-of-service attack or the failure of a single shared provider makes our customer-facing services unavailable for hours to days during peak trading, with revenue loss and extortion.”“Een denial-of-service-aanval of het uitvallen van één gedeelde leverancier maakt onze klantgerichte diensten uren tot dagen onbereikbaar tijdens de piek, met omzetverlies en afpersing.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Business continuity and crisis management are named risk-management measures, alongside network security and supply-chain security. Management approves them and can be held liable. In the Netherlands this runs through the Cbw, in force since 15 August 2026. | There is no NIS2 certificate. Ask for the SLA, the scrubbing capacity in front of their service, and evidence of redundancy. Put their duty to warn you of disruptions in the contract. | A disruption of our service can count as a significant incident if it meets the thresholds: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. NIS2 requires informing recipients of the service where appropriate. |
| DORA | For financial entities: DORA requires the ICT risk framework to ensure the availability of critical or important functions, with tested continuity plans and a register of ICT third parties. | The report is input, not a substitute. Critical ICT providers need the contractual clauses DORA prescribes: service levels, business-continuity measures, audit rights, exit strategy. | It can be classified as a major ICT incident: initial notification within 4 hours of classifying it as major (and at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. Availability loss is a classification criterion. |
| SOC 2 | If you issue one and include the Availability criterion: capacity management, monitoring, backup and recovery are tested over a period (Type II), and your uptime commitments are the yardstick. | Check whether Availability is in scope at all; many reports cover Security only. A clean opinion does not prove the supplier can absorb an attack, only that its controls operated. | The outage appears in the next report as a deviation if commitments were missed. Customers will ask for a bridge letter and your root-cause analysis. |
| ISAE 3402 | Assurance over outsourced processes relevant to financial reporting, including their continuity. The service organisation sets the scope, so availability controls may be thin. | Read the control objectives first. If continuity and capacity are not among them, the report says nothing about whether the supplier stays up under attack. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Bedrijfscontinuïteit en crisisbeheer zijn expliciet genoemde risicobeheersmaatregelen, naast netwerkbeveiliging en beveiliging van de toeleveringsketen. Het bestuur keurt ze goed en kan aansprakelijk worden gesteld. In Nederland loopt dit via de Cbw, van kracht sinds 15 augustus 2026. | Er bestaat geen NIS2-certificaat. Vraag naar de SLA, de scrubbing-capaciteit vóór hun dienst en bewijs van redundantie. Leg hun plicht om u bij storingen te waarschuwen vast in het contract. | Een verstoring van onze dienst kan gelden als significant incident als die de drempels haalt: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindrapport binnen een maand. NIS2 vereist dat afnemers van de dienst waar nodig worden geïnformeerd. |
| DORA | Voor financiële instellingen: DORA vereist dat het ICT-risicokader de beschikbaarheid van kritieke of belangrijke functies borgt, met geteste continuïteitsplannen en een register van ICT-derden. | Het rapport is input, geen vervanging. Voor kritieke ICT-leveranciers schrijft DORA contractbepalingen voor: serviceniveaus, continuïteitsmaatregelen, auditrechten, exitstrategie. | Dit kan als ernstig ICT-incident worden geclassificeerd: eerste melding binnen 4 uur na die classificatie (en uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. Verlies van beschikbaarheid is een classificatiecriterium. |
| SOC 2 | Als u er zelf een afgeeft met het criterium Availability: capaciteitsbeheer, monitoring, back-up en herstel worden over een periode getest (Type II), en uw uptime-toezeggingen zijn de maatstaf. | Controleer of Availability überhaupt in scope is; veel rapporten dekken alleen Security. Een schoon oordeel bewijst niet dat de leverancier een aanval kan opvangen, alleen dat zijn maatregelen werkten. | De storing verschijnt in het volgende rapport als afwijking als toezeggingen niet zijn gehaald. Klanten vragen om een bridge letter en uw oorzaakanalyse. |
| ISAE 3402 | Zekerheid over uitbestede processen die relevant zijn voor de financiële verslaggeving, inclusief hun continuïteit. De serviceorganisatie bepaalt de scope, dus beschikbaarheidsmaatregelen kunnen mager zijn. | Lees eerst de beheersdoelstellingen. Staan continuïteit en capaciteit er niet bij, dan zegt het rapport niets over of de leverancier onder een aanval overeind blijft. | ISAE 3402 schept geen meldplicht richting de auditors van klanten. Verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against: Cloudflare DDoS threat reports Q4 2025 (Feb 2026) and H1 2026 (Aug 2026), NCSC-NL on DDoS around the NATO summit (Jun 2025), NBIP NaWas and Anti-DDoS Coalitie (2026), NIS2 Art. 23, DORA and the Cbw (Aug 2026) · September 2026.
Gecontroleerd tegen: Cloudflare DDoS-dreigingsrapporten Q4 2025 (feb 2026) en H1 2026 (aug 2026), NCSC-NL over DDoS rond de NAVO-top (jun 2025), NBIP NaWas en Anti-DDoS Coalitie (2026), NIS2 art. 23, DORA en de Cbw (aug 2026) · september 2026.