How one stolen login or one unpatched device becomes weeks of downtime and a public data leak — in plain language: what happens at each step, and the single control that breaks the chain. Hoe één gestolen inlog of één ongepatcht apparaat uitmondt in weken stilstand en een publiek datalek — in gewone taal: wat er bij elke stap gebeurt, en welke maatregel de keten breekt.
Ransomware rarely needs a clever new exploit. It starts with a login or an unpatched edge device. A password reused from a breached webshop, a phishing mail, a VPN portal without a second factor. Or a known flaw in a VPN or firewall, patched too late: Sophos (State of Ransomware 2025) names exploited vulnerabilities as the most common root cause (32%), ahead of stolen credentials (23%). Either way, nothing flags it. Days or weeks pass before anything visible happens.
Why this step matters most: it is the only point where stopping the attacker is still cheap. Two measures weigh equally: a second factor on every external login, and a small internet-facing footprint patched within days.
Ransomware heeft zelden een slimme nieuwe exploit nodig. Het begint met een inlog of een ongepatcht randapparaat. Een wachtwoord dat ook bij een gehackte webshop werd gebruikt, een phishingmail, een VPN-portaal zonder tweede factor. Of een bekende fout in een VPN of firewall, te laat gepatcht: Sophos (State of Ransomware 2025) noemt misbruikte kwetsbaarheden de vaakste oorzaak (32%), vóór gestolen inloggegevens (23%). Hoe dan ook: niets slaat alarm. Er gaan dagen of weken voorbij voordat er iets zichtbaar gebeurt.
Waarom juist deze stap telt: het is het enige moment waarop de aanvaller nog goedkoop te stoppen is. Twee maatregelen wegen even zwaar: een tweede factor op elke externe inlog, en een kleine buitenkant die binnen dagen wordt gepatcht.
Testing millions of breached username and password pairs against every VPN portal is ordinary automation, no AI needed. What AI adds is speed elsewhere: more convincing phishing mails, and faster sifting of which exposed edge devices are still unpatched.Miljoenen gelekte combinaties van gebruikersnaam en wachtwoord uitproberen op elk VPN-portaal is gewone automatisering, daar is geen AI voor nodig. AI versnelt vooral de rest: overtuigender phishingmails, en sneller uitzoeken welke randapparaten nog ongepatcht zijn.
Once one stolen password proves valid, an AI assistant can help an attacker map every other login it also opens, such as email, cloud storage and admin panels, faster than working through them by hand, without tripping an alarm.Blijkt één gestolen wachtwoord geldig, dan helpt een AI-assistent de aanvaller sneller in kaart te brengen welke andere inlogs het nog meer opent, zoals e-mail, cloudopslag en beheerpanelen, zonder dat er alarm afgaat.
AI can flag logins from a new location or an impossible-travel pattern for review faster than a person watching logs, but stopping this step still comes down to phishing-resistant MFA on every external login and a small, patched footprint.AI kan inlogpogingen vanaf een nieuwe locatie of een onmogelijk reispatroon sneller signaleren dan iemand die logs naleest, maar deze stap stoppen komt nog altijd neer op phishingbestendige MFA op elke externe inlog en een kleine, gepatchte buitenkant.
Once inside, the attacker encrypts nothing yet. They look around. On a flat network every server is reachable from every desk. An IT administrator who logs on to a workstation leaves credentials behind that can be harvested. Within days the attacker holds a domain administrator account — the keys to every system, including the ones that run the backups. From there, encrypting the entire estate is a scheduled task set to run on a Friday night.
Business impact: blast radius is the whole decision. A segmented network with separate admin accounts turns “the company is down” into “one department is down”. Same attacker, same entry point; a fraction of the cost.
Eenmaal binnen versleutelt de aanvaller nog niets. Hij kijkt rond. In een plat netwerk is elke server bereikbaar vanaf elk bureau. Een IT-beheerder die inlogt op een werkplek laat daar inloggegevens achter die geoogst kunnen worden. Binnen enkele dagen heeft de aanvaller een domeinbeheerdersaccount — de sleutel tot elk systeem, inclusief de systemen die de back-ups maken. Vanaf dat moment is het versleutelen van het hele bedrijf een geplande taak voor vrijdagnacht.
Bedrijfsimpact: de omvang van de schade is waar het om draait. Een gesegmenteerd netwerk met gescheiden beheerdersaccounts maakt van “het bedrijf ligt plat” een “één afdeling ligt plat”. Dezelfde aanvaller, dezelfde ingang; een fractie van de kosten.
Once inside, AI-assisted reconnaissance tools automatically chart which accounts hold excess privileges and which machines still have admin credentials cached in memory, turning what used to take days of manual poking around into the same afternoon the attacker got in.Eenmaal binnen brengen AI-ondersteunde verkenningstools automatisch in kaart welke accounts te veel rechten hebben en op welke machines beheerdersgegevens nog in het geheugen staan, waardoor dagen handmatig rondzoeken worden teruggebracht tot dezelfde middag als de inbraak.
An IT-automation copilot with standing admin rights, if tricked by a crafted ticket or prompt, can be made to run commands that harvest credentials or widen access across the network on the attacker's behalf, misusing a tool built to speed up admin work.Een IT-automatiseringstool met vaste beheerrechten kan, door een geprepareerd ticket of bericht, worden verleid tot opdrachten die inloggegevens oogsten of toegang verbreden namens de aanvaller, misbruik van een hulpmiddel dat beheerwerk juist moest versnellen.
AI-driven endpoint detection can spot a workstation behaving like a domain controller or unusual credential harvesting the moment it happens, but segmentation and separate tiered admin accounts are what actually limit how far that account can reach.AI-gestuurde endpointdetectie kan direct signaleren wanneer een werkplek zich als domeinbeheerder gedraagt of ongebruikelijk inloggegevens oogst, maar segmentatie en gescheiden beheerdersaccounts bepalen echt hoe ver dat account kan reiken.
Encryption is the loud part, and it comes last. Before it, the attacker quietly copies out what hurts most: contracts, personnel files, customer data, board minutes, the M&A data room. Then they encrypt, and the ransom note has two halves — pay to get your systems back, and pay so we do not publish. Restoring from backup fixes the first half only. Some groups skip encryption altogether: they only steal, then extort.
Business impact: this turns an outage into a data breach. GDPR requires notifying the Autoriteit Persoonsgegevens within 72 hours and, when the risk is high, the people affected. Then a leak site with our name on it — whether or not we pay. Gigabytes leaving for an address we have never talked to is detectable. But only if someone is watching.
Versleutelen is het luidruchtige deel, en het komt als laatste. Daarvóór kopieert de aanvaller in stilte wat het meeste pijn doet: contracten, personeelsdossiers, klantgegevens, bestuursnotulen, de dataroom van de overname. Daarna versleutelt hij, en het losgeldbriefje heeft twee helften — betaal om uw systemen terug te krijgen, en betaal zodat wij niet publiceren. Herstellen vanaf back-up lost alleen de eerste helft op. Sommige groepen slaan het versleutelen zelfs over: ze stelen alleen, en persen dan af.
Bedrijfsimpact: dit maakt van een storing een datalek. De AVG vraagt een melding bij de Autoriteit Persoonsgegevens binnen 72 uur en, bij een hoog risico, het informeren van de betrokkenen. Daarna een leksite met onze naam erop — of we nu betalen of niet. Gigabytes die vertrekken naar een adres waar we nooit mee gesproken hebben, zijn te detecteren. Maar alleen als iemand kijkt.
AI helps attackers sort through stolen files at speed, automatically flagging which contracts, personnel records or board documents are most damaging for extortion instead of reading everything by hand, so the threat to publish becomes credible almost immediately.AI helpt aanvallers razendsnel gestolen bestanden doorzoeken, en markeert automatisch welke contracten, personeelsdossiers of bestuursstukken het meest schadelijk zijn voor afpersing, in plaats van alles handmatig te lezen, waardoor de publicatiedreiging bijna direct geloofwaardig wordt.
An insider with normal file access can use an AI assistant to instantly find, summarise and package the most damaging documents for sale or leak, work that used to take deliberate manual effort and left far more traces behind.Een insider met gewone bestandstoegang kan met een AI-assistent razendsnel de meest schadelijke documenten vinden, samenvatten en verzamelen voor verkoop of lek, werk dat vroeger bewuste, handmatige moeite kostte en veel meer sporen achterliet.
AI-based egress monitoring can spot unusual large transfers to an unfamiliar destination faster than a manual log review, but it only works if someone watches continuously and access to sensitive data is limited from the start.AI-gebaseerde monitoring van uitgaand verkeer kan grote, ongebruikelijke overdrachten sneller signaleren dan iemand die de logs handmatig naleest, maar het werkt alleen als er voortdurend wordt meegekeken en toegang tot gevoelige data vanaf het begin beperkt is.
Attackers read the same playbooks we do. Before the encryption runs, they find the backup server — reachable with the same domain administrator account — and delete the backups, or encrypt them too. Cloud backup tied to a connected account? Deleted. A retention period an administrator can shorten? Shortened. What survives is only what the attacker could not touch: a copy that is offline, immutable, or in an account no stolen credential can reach.
Business impact: this is the difference between a bad week and an existential event. Companies with tested, untouchable backups restore and refuse to pay. The rest negotiate. “We have backups” is not the question. “When did we last restore everything, and how many days did it take?” is.
Aanvallers lezen dezelfde handboeken als wij. Voordat de versleuteling draait, zoeken ze de back-upserver — bereikbaar met datzelfde domeinbeheerdersaccount — en wissen ze de back-ups, of versleutelen ze die ook. Cloudback-up gekoppeld aan een verbonden account? Gewist. Een bewaartermijn die een beheerder kan verkorten? Verkort. Wat overblijft is alleen wat de aanvaller niet kon aanraken: een kopie die offline staat, onveranderbaar is, of in een account zit waar geen gestolen inlog bij kan.
Bedrijfsimpact: dit is het verschil tussen een slechte week en een existentiële crisis. Bedrijven met geteste, onaantastbare back-ups herstellen en weigeren te betalen. De rest onderhandelt. “We hebben back-ups” is niet de vraag. “Wanneer hebben we voor het laatst álles teruggezet, en hoeveel dagen kostte dat?” wel.
Once an attacker holds domain admin, reaching the backup server needs little AI help, since that account already opens it. What AI still cannot touch is a copy kept offline or immutable; that protection holds no matter how capable the attacker's tools are.Heeft een aanvaller eenmaal een domeinbeheerdersaccount, dan is de back-upserver al bereikbaar zonder dat AI daarbij veel toevoegt. Wat AI niet kan raken, is een kopie die offline of onveranderbaar is; die bescherming houdt stand, hoe sterk de tools van de aanvaller ook zijn.
AI-driven backup tools tuned for smart retention can be manipulated into shortening a retention period or marking backups as expired early, giving an attacker, or a rogue insider, a legitimate-looking reason to delete data that would otherwise trigger an alarm.AI-gestuurde back-uptools die zijn afgestemd op slimme bewaartermijnen zijn te manipuleren tot het verkorten of vroegtijdig laten verlopen van een bewaartermijn, wat een aanvaller of een kwaadwillende insider een legitiem ogende reden geeft om data te wissen zonder alarm.
AI can flag unusual admin actions in real time, like a shortened retention period or a mass backup deletion, but the fix that actually survives an attack is a copy that is offline, immutable, or unreachable by any stolen credential, AI-assisted or not.AI kan ongebruikelijke beheeracties direct signaleren, zoals een verkorte bewaartermijn of massale verwijdering van back-ups, maar wat een aanval echt overleeft is een kopie die offline, onveranderbaar of onbereikbaar is voor elke gestolen inlog, met of zonder AI.
What to look for: each tier has its own admin accounts, used only from its own hardened device (PAW). Microsoft calls this its Enterprise Access Model. The backup vault sits outside it all, so a stolen domain admin cannot delete the last clean copy. Which gap to close first is your call.
Waar u op let: elke laag heeft eigen beheeraccounts, alleen te gebruiken vanaf een eigen geharde werkplek (PAW). Microsoft noemt dit het Enterprise Access Model. De back-upkluis staat daarbuiten, zodat een gestolen domeinbeheerder de laatste schone kopie niet kan wissen. Welk gat u eerst dicht, bepaalt u zelf.
| Control | Breaks | In one line |
|---|---|---|
| MFA | Entry (01) | A second factor on every login that reaches us from outside. Phishing-resistant keys or passkeys for administrators. |
| Attack surface | Entry (01) | Nothing on the internet that does not need to be there. VPNs, firewalls and other edge devices patched within days, not quarters. |
| Segmentation | Spread (02) | Networks divided so a desk cannot reach the server room, and workstations cannot talk to each other. |
| Tiered admin | Spread (02) | Domain administrator accounts never touch a workstation or read mail. Separate account, separate device. |
| EDR | Spread (02), Steal (03) | Endpoint detection and response on every device: spots attacker behaviour and isolates a machine in seconds — with someone watching around the clock. |
| Egress monitoring | Steal (03) | An alert when gigabytes leave for an address we have never talked to. |
| Immutable backups | Backups (04) | A copy nobody can delete or change for a fixed period, not even an administrator. Offline or in a separate account. |
| Restore test | Backups (04) | Worth rebuilding the critical systems from backup, for real, at least yearly, and measuring the hours. That number is our true downtime. |
| Response plan | All four | Who decides, who calls whom, who speaks to press and regulator, at 03:00 on a Saturday. Includes reporting to the police. Written in advance, rehearsed yearly. |
| Maatregel | Breekt | In één zin |
|---|---|---|
| MFA | Binnenkomen (01) | Een tweede factor op elke inlog die van buiten komt. Phishingbestendige sleutels of passkeys voor beheerders. |
| Buitenkant | Binnenkomen (01) | Niets aan het internet dat er niet hoeft te staan. VPN's, firewalls en andere randapparaten binnen dagen gepatcht, niet binnen kwartalen. |
| Segmentatie | Verspreiden (02) | Netwerken zo verdeeld dat een bureau niet bij de serverruimte kan, en werkplekken niet met elkaar praten. |
| Gescheiden beheer | Verspreiden (02) | Domeinbeheerdersaccounts raken nooit een werkplek aan en lezen geen mail. Apart account, apart apparaat. |
| EDR | Verspreiden (02), Stelen (03) | Endpoint detection and response op elk apparaat: herkent aanvallersgedrag en isoleert een machine in seconden — met iemand die dag en nacht meekijkt. |
| Uitgaand verkeer | Stelen (03) | Een alarm zodra gigabytes vertrekken naar een adres waar we nooit mee gesproken hebben. |
| Onveranderbare back-ups | Back-ups (04) | Een kopie die niemand een vaste periode kan wissen of wijzigen, ook geen beheerder. Offline of in een apart account. |
| Hersteltest | Back-ups (04) | Het loont om de kritieke systemen minstens jaarlijks echt terug te zetten vanaf back-up, en de uren te meten. Dat getal is onze werkelijke stilstand. |
| Responsplan | Alle vier | Wie beslist, wie belt wie, wie praat met pers en toezichthouder, om 03:00 op een zaterdag. Inclusief aangifte bij de politie. Vooraf geschreven, jaarlijks geoefend. |
Every organisation with email and remote access is a target. Entry needs one stolen login or one unpatched edge device.Elke organisatie met e-mail en externe toegang is doelwit. Binnenkomen vraagt één gestolen inlog of één ongepatcht randapparaat.
Weeks of downtime, a data breach with notification duties, a ransom demand and months of recovery cost.Weken stilstand, een datalek met meldplicht, een losgeldeis en maanden herstelkosten.
Entry stays possible. Segmentation, EDR and immutable backups bound the blast radius and cut downtime to days.Binnenkomen blijft mogelijk. Segmentatie, EDR en onveranderbare back-ups beperken de schade en brengen de stilstand terug tot dagen.
Executes through the CISO and IT. The board owns the two numbers: tolerable downtime and tolerable data loss.Uitvoering via de CISO en IT. De directie is eigenaar van de twee getallen: aanvaardbare stilstand en aanvaardbaar dataverlies.
% of external logins without MFA · days to patch a critical internet-facing flaw · date and duration of the last full restore test · % of endpoints with EDR.% externe inlogs zonder MFA · dagen tot een kritieke kwetsbaarheid aan de buitenkant is gepatcht · datum en duur van de laatste volledige hersteltest · % apparaten met EDR.
“Ransomware through compromised credentials or an unpatched edge device, and a flat network, causes a multi-week outage, a personal-data breach and extortion.”“Ransomware via gestolen inloggegevens of een ongepatcht randapparaat, en een plat netwerk, veroorzaakt wekenlange stilstand, een datalek en afpersing.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Risk management measures covering incident handling, backup and continuity, supply chain, MFA and encryption. Management approves them, follows training, and can be held liable. | There is no NIS2 certificate. Ask how the supplier covers these measures, and put their duty to warn you of incidents in the contract. | Can count as a significant incident if it meets the thresholds. Then: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Where the service is likely to be affected, inform its recipients without undue delay. |
| DORA | For financial entities: an ICT risk framework approved by the board, backup and restore policies that are actually tested, a register of ICT third parties, and resilience testing. | A report is input, not a substitute. ICT services supporting critical or important functions need the contractual clauses DORA prescribes, including audit rights and an exit strategy. | Classify promptly. If major: initial notification within 4 hours of classifying it (and at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | If you issue one: controls for access, change, backup and incident response are tested over a period (Type II). Every exception is printed in the report. | Check the period, the systems in scope and the exceptions. Then read the complementary user entity controls: that is the list of things you are expected to do yourself. | The incident appears in the next report as a deviation, auditors test the response, and customers will ask for a bridge letter and your root-cause analysis. |
| ISAE 3402 | Assurance over outsourced processes relevant to financial reporting. The service organisation sets the scope, so security controls may be thin or absent. | Read the control objectives first. If backup and recovery are not among them, the report says nothing about ransomware resilience. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Risicobeheersmaatregelen voor incidentafhandeling, back-up en continuïteit, toeleveringsketen, MFA en versleuteling. Het bestuur keurt ze goed, volgt training en kan aansprakelijk worden gesteld. | Er bestaat geen NIS2-certificaat. Vraag hoe de leverancier deze maatregelen invult, en leg zijn plicht om u bij incidenten te waarschuwen vast in het contract. | Kan gelden als significant incident als het de drempels haalt. Dan: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindverslag binnen een maand. Raakt het waarschijnlijk de dienstverlening, informeer dan onverwijld de afnemers. |
| DORA | Voor financiële instellingen: een ICT-risicokader dat het bestuur goedkeurt, back-up- en herstelbeleid dat echt wordt getest, een register van ICT-derden, en weerbaarheidstesten. | Een rapport is input, geen vervanging. ICT-diensten die kritieke of belangrijke functies ondersteunen, vragen de contractbepalingen die DORA voorschrijft, inclusief auditrechten en een exitstrategie. | Classificeer snel. Is het ernstig: eerste melding binnen 4 uur na die classificatie (en uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Als u er zelf een afgeeft: maatregelen voor toegang, wijzigingen, back-up en incidentrespons worden over een periode getest (Type II). Elke afwijking staat in het rapport. | Controleer de periode, de systemen binnen scope en de afwijkingen. Lees daarna de complementary user entity controls: dat is de lijst van wat van u zelf wordt verwacht. | Het incident verschijnt in het volgende rapport als afwijking, auditors testen de respons, en klanten vragen om een bridge letter en uw oorzaakanalyse. |
| ISAE 3402 | Zekerheid over uitbestede processen die relevant zijn voor de financiële verslaggeving. De serviceorganisatie bepaalt de scope, dus beveiligingsmaatregelen kunnen mager of afwezig zijn. | Lees eerst de beheersdoelstellingen. Staan back-up en herstel er niet bij, dan zegt het rapport niets over weerbaarheid tegen ransomware. | ISAE 3402 schept geen plicht om de auditors van klanten te informeren. Verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against: Sophos State of Ransomware 2025 (June 2025), NIS2 Art. 23 (Directive (EU) 2022/2555), NCSC-NL on Cbw reporting (2026), DORA RTS on incident reporting (2025), GDPR Art. 33–34, OFAC ransomware advisory (Sept 2021), No More Ransom, Microsoft Enterprise Access Model (May 2026) · September 2026.
Gecontroleerd tegen: Sophos State of Ransomware 2025 (juni 2025), NIS2 art. 23 (Richtlijn (EU) 2022/2555), NCSC-NL over de Cbw-meldplicht (2026), DORA-RTS incidentmelding (2025), AVG art. 33–34, OFAC-advies over ransomware (sept 2021), No More Ransom, Microsoft Enterprise Access Model (mei 2026) · september 2026.