AP: ransomwarebendes stelen steeds meer gegevens van slachtoffers

Het aantal ransomwareaanvallen in Nederland is vorig jaar opnieuw gegroeid. Dat blijkt uit het jaarlijkse rapport van de Autoriteit Persoonsgegevens. Criminelen stelen daarbij steeds vaker gegevens van hun slachtoffers, soms zelfs zonder de data daadwerkelijk te versleutelen.

Dit nieuws in het kort

• Het aantal ransomwareaanvallen is in 2025 opnieuw gestegen in Nederland.
• Criminelen stelen bijna altijd de gegevens van slachtoffers, blijkt uit cijfers van de toezichthouder.
• De AP raadt organisaties aan om goede crisisplannen op te stellen en op tijd aan de bel te trekken bij een incident.

De Autoriteit Persoonsgegevens zag vorig jaar 136 ransomwareaanvallen in Nederland, blijkt uit haar rapport. Dat is een stijging ten opzichte van 2024: toen waren het er nog 127, aldus de AP.

De toezichthouder waarschuwt wel dat het aantal gemelde aanvallen vaak hoger ligt dan het aantal daadwerkelijke aanvallen. Meerdere bedrijven kunnen namelijk slachtoffer worden van hetzelfde lek.

Steeds meer datadiefstal

Ook een andere trend zette zich vorig jaar voort: criminelen stelen steeds vaker data van hun slachtoffers. Ransomware treft computersystemen, waarna de daders het slachtoffer afpersen.

Vroeger versleutelden de daders de bestanden van getroffen systemen. Slachtoffers konden op die manier niet meer bij hun data, tenzij ze de daders betaalden voor een wachtwoord om de bestanden te ontsleutelen.

Tegenwoordig stelen hackers de data vaak ook. Als slachtoffers niet betalen, zetten de daders de gegevens online. Een recent voorbeeld daarvan is het Odido-datalek van eerder dit jaar, waarbij de gegevens van miljoenen klanten op het darkweb verschenen.

In de meeste gevallen versleutelen daders de gegevens én stelen ze die. Dat gebeurt volgens de AP in ongeveer 48 procent van de gevallen. In 23 procent van de gevallen werd de data zelfs alleen gestolen, maar helemaal niet versleuteld. In 19 procent van de gevallen is onduidelijk of daders de gegevens hebben gestolen. Bij slechts 10 procent van de ransomwareaanvallen versleutelen daders de gegevens zonder ze te stelen, schrijft de AP.

'Leer van elkaars fouten'

De Autoriteit Persoonsgegevens doet in haar rapport verschillende suggesties om bedrijven weerbaarder te maken tegen ransomware. De AP baseert die op ervaringen van eerdere slachtoffers en wil zo voorkomen dat organisaties steeds dezelfde fouten maken.

De tips gaan bijvoorbeeld over het opzetten van goede monitoringssystemen, waarmee aanvallen zo snel mogelijk opgemerkt kunnen worden. De AP raadt organisaties ook aan om incident- en crisisplannen op te zetten. Bij een hack is het ook belangrijk om snel deskundigen in te schakelen. Organisaties moeten slachtoffers ook op tijd informeren en voorlichten, schrijft de AP.

Bron: Sarayut Thaneerat via Getty Images (afbeelding ter illustratie)

Reacties (18)

[FPSUsername]

Steeds meer diefstal aan de ene zijde en aan de andere zijde wordt steeds meer data verzameld door fabrikanten om weer te verkopen aan derde partijen. Dit gaat echt hand in hand.

[Reactie gewijzigd door FPSUsername op 28 juli 2026 12:26]

[iAR]

Hand in hand en dubbelop. En je kan er steeds minder aan doen lijkt het. Na die Odido hack krijg ik zoveel telefoon dat ik mijn voicemail (door een AI stem) heb ingesproken dat als ik het nummer niet ken, ik je niet terug bel en dat je een bericht kunt achter laten.

Ik kan een nieuw nummer nemen, maar hoe lang blijft dat schoon. Daarnaast, zit dat nummer van de oude eigenaar waarschijnlijk ook wel in een een of andere dataset.

[The Zep Man]

Het wordt tijd dat telecomproviders geen nummerspoofing meer toestaan. Dit gaat helaas niet gebeuren zonder politiek ingrijpen door economische belangen.

[iAR]

Welke economische belangen zitten hier dan achter vraag ik me af.

[The Zep Man]

Bedrijven maken nu vaak (legitiem) gebruik van de mogelijkheid dat ze makkelijk nummers kunnen spoofen. Wordt je opgebeld door een call center, dan is het telefoonnummer wat je ziet het telefoonnummer van bijvoorbeeld de service desk van het bedrijf die jou belt, maar niet het telefoonnummer van de uitgaande lijn van de beller.

Authenticatie van nummers kost geld, want de telecomprovider zal dan nummers (eigendom) moeten verifiëren voordat spoofing toegestaan wordt. Hieromheen moeten processen en techniek ingericht worden. Nu is geen enkele controle nodig, maar wordt vertrouwd op de informatie die de beller aanlevert. Die kan elk willekeurig nummer invullen, ook al is dat nummer niet van de beller.

[Reactie gewijzigd door The Zep Man op 28 juli 2026 13:01]

[The-Source]

Maar dat nummer is vaak wel onderdeel van het nummer blok wat ze hebben.
Dit was vroeger bij ISDN niet anders. Je had standaard 4 nummers en inkomend kon je op de quatrovox instellen welke poort ging 'rinkelen' bij inkomende oproep (op welk nummer) maar zo ook kan je instellen welk nummer uitgaand werd gebruikt en inkomend vs uitgaand staat los van elkaar.
Zo ook bij een grotere PBX.
Maar een ander nummer gebruiken via een lijn welke niet in je nummer blok zat werd wel tegen gehouden.

Nu werk ik al langere tijd niet meer in de telecom maar dat authenticatie geld kost lijkt mij raar want klant betaald al voor een nummer om uitgaand mee te bellen. Spoofen is een hele andere categorie gebruik.

[iAR]

Ik zie daar niet super veel voordeel in. En toch zijn de nadelen vele malen groter. En wat @The-Source zegt: als je één nummer uit je blok als afzender wil gebruiken, dan kan de provider dat verifiëren.

[Codeandreams]

Ja ik ben sinds mijn inschrijving bij de KVK meer lastig gevallen door telemarketing dan op welke andere manier ook.

[The-Source]

Heb je bij je inschrijven gekozen om je gegevens prive te zetten? Ander even inloggen bij kvk en dat als nog doen.

[FrostyPeet]

Goh, zou dat te maken kunnen hebben dat we in Nederland zo hyper efficiënt alles aan internet hangen, in portals en apps stoppen en het liefst nog zoveel mogelijk AI gebruiken? Onder het motto "het zijn niet mijn gegevens" en "het zijn die hackers" vrolijk de winst incasseren en de ander met de ellende achter laten?

Dan gaan we nog over op de digitale euro, leeftijd verificatie, de digitale wallet en dan mag over 10 jaar er een parlementaire enquête een vernietigend rapport publiceren, die vervolgens ergens onder in de lade verdwijnt en gaat het circus gewoon verder.

De hackers, die zich onaantastbaar wanen, lachen zich rot om zoveel naïviteit gekoppeld aan geldgewin. Die starten hun tooltje nog een keer op en schuimen de digitale zeeën af op zoek naar vette digitale Nederlandse buit.

[Lnaisd]

Ik denk dat de veiligheid ook beter wordt als je de belangrijke dingen 0% vibecode en vervolgens een AI er over heen gooit die de security checkt, het liefst de zelfde AI dat criminelen gebruiken om het te hacken dan zou de veiligheid al een stuk beter worden

Ook is het belangrijk om zo min mogelijk te verbonden te hebben met het internet want dat is het enige aanvalspunt dat effectief kan worden gebruikt.

[Webgnome]

Vibecoden heeft vrij weinig dit probleem te maken. Het probleem was er, is er en zal er altijd blijven. Dat er bedrijven worden getroffen door data lekken komt over het algemeen, zover ik kan overzien, door de afwezigheid van urgentie van de oorzaken. Denk aan het tijdig patchen van software, het goed beheren van rechten en gewoon de algemene menselijke factor die nog heel vaak in de fout gaat.

Code die door aI is gegenereerd en daarna niet meer bekeken is vormt daar maar een heel klein deel van.
Waar AI wel een rol speeld is het vinden van lekken die ten grondslag liggen aan het lekken van data.

[Reactie gewijzigd door Webgnome op 28 juli 2026 12:44]

[oef!]

Code is over het algemeen geen issue. Gebrek aan overzicht op de infra, de software en de staat daarvan wel. Gecombineerd met afwezig of gebrekkig securitybeleid (patches, toegang, etc) wordt je op een gegeven moment gegarandeerd gegrepen.

[roeleboel]

Ik denk dat wetgeving in de vorm van

"als een datalek niet binnen X termijn gemeld wordt bij instantie Y, wordt iedereen binnen management hoofdelijk aansprakelijk gesteld met een omgekeerde bewijslast" (bedrijf/management moet aantonen dat de gebruikte data niet bij hun vandaan komt, en de "immuniteit" geldt ook enkel voor de effectief gemelde gelekte data uiteraard)

enorm zou helpen om datahonger en onverschilligheid/het zien van security als een pure kostenpost door management structureel aan te pakken.

Uiteraard kunnen mensen met een juridische achtergrond dit beter verwoorden maar ik denk dat hier wel een basis-idee in zit.

[SomerenV]

De aansprakelijkheid zoals het nu gaat vind ik ook wel een dingetje ja. Voor mijn gevoel komen leidinggevenden echt veel te makkelijk weg met whatever puinhoop ze creëeren. Het bedrijf krijgt hooguit een boete en that's it. Gaat de mensen die verantwoordelijk zijn maar achterna. Ergens is iemand die de personen aanstuurt die de beveiliging op orde moeten houden. Ergens is iemand die zegt 'laat X en Y maar weg, dat komt wel goed en bespaart veel geld'. Die persoon of personen moet je mede aanpakken.

[mareck1]

Ik ben nu zo ver dat ik mijn echte naam niet meer gebruik tenzij het echt niet anders kan zoals bij een verzekering of een auto huren.

Valse geboortedatum en een aantal spelfouten in mijn naam zodat eventueel fout bezorgde pakketten in de straat nog te vinden zijn.

[Pietopdeheuvel]

AP: ransomwarebendes stelen steeds meer gegevens van slachtoffers

Pleonasme.

[desalniettemin]

Gemak dient de mens, maar veiliger is het er niet door geworden inderdaad. Misdaad loont zo denken die hackers. Jammer dat ze niet helpen om het veiliger te maken voor iedereen. De goeie daargelaten.