ESET Research heeft PromptSpy geïdentificeerd, een Android-dreiging die generatieve AI gebruikt om actief te blijven op een toestel. Volgens het beveiligingsbedrijf is dit de eerste bekende Android-malware die tijdens uitvoering een AI-model inzet om zijn gedrag aan te sturen.

De malware gebruikt Gemini van Google om te analyseren wat er op het scherm van een geïnfecteerd apparaat gebeurt. Op basis van die analyse ontvangt PromptSpy instructies om specifieke handelingen uit te voeren. Het doel is om de kwaadaardige app vast te zetten in de lijst met recente apps, vaak zichtbaar met een hangslotpictogram. Daardoor kan de app niet eenvoudig worden weggeveegd of automatisch worden afgesloten door het systeem.

De AI-functionaliteit beslaat slechts een beperkt deel van de code en is bedoeld om persistentie te regelen. Het gebruikte model en de bijbehorende prompt zijn hard gecodeerd en niet dynamisch aanpasbaar. Toch vergroot deze aanpak het aanpassingsvermogen van de malware, omdat navigatie via de gebruikersinterface niet langer afhankelijk is van vaste scripts die per apparaat of Android-versie verschillen.

Het primaire doel van PromptSpy ligt elders. De malware installeert een ingebouwde Virtual Network Computing-module waarmee aanvallers het scherm kunnen bekijken en het toestel op afstand kunnen bedienen. Daarnaast kan de dreiging gegevens van het vergrendelscherm vastleggen, apparaatinformatie verzamelen, schermafbeeldingen maken en schermactiviteit als video opnemen. Via misbruik van toegankelijkheidsdiensten blokkeert de malware pogingen tot deïnstallatie met onzichtbare overlays. De communicatie met de command-and-controlserver is versleuteld met AES.

Volgens ESET is dit de tweede keer dat het onderzoeks­team malware aantreft waarin generatieve AI een rol speelt. In augustus 2025 meldde het bedrijf al PromptLock, ransomware waarbij AI werd ingezet om functionaliteit aan te sturen. De inzet van dergelijke modellen past binnen een bredere ontwikkeling waarbij aanvallers experimenteren met automatisering en adaptieve technieken om detectie en verstoring te omzeilen.

Op basis van taalinstellingen en verspreidingsmethode lijkt de campagne financieel gemotiveerd en gericht op gebruikers in Argentinië. De malware wordt verspreid via een speciaal opgezette website en was nooit beschikbaar via Google Play. In de telemetrie van ESET is PromptSpy vooralsnog niet waargenomen, wat erop kan wijzen dat het om een proof of concept gaat of om een beperkt uitgerolde campagne.

De kwaadaardige app draagt de naam MorganArg en gebruikt een pictogram dat lijkt op dat van Morgan Chase. Ook op de bijbehorende website komt de naam MorganArg terug, vermoedelijk als afkorting van Morgan Argentina, wat de regionale focus onderstreept.

Als partner van de App Defense Alliance heeft ESET de bevindingen gedeeld met Google. Android-toestellen met Google Play Services zijn volgens het bedrijf automatisch beschermd tegen bekende varianten via Google Play Protect.

Doordat de malware deïnstallatie actief tegenwerkt, kan verwijdering alleen plaatsvinden via Veilige modus. In die modus worden apps van derden uitgeschakeld, waarna de app handmatig kan worden verwijderd via de instellingen.

Twintig jaar na de start staat cloudinfrastructuurprovider Worldstream op een interessant kruispunt. De markt praat volop over digitale soevereiniteit, geopolitieke afhankelijkheid en weerbaarheid van IT-ketens. Voor CEO Ruben van der Zwan draait het gesprek minder om slogans en meer om nuchter vooruitdenken. Soevereiniteit is volgens hem geen eindpunt, maar een manier om onzekerheid te managen.

Die invalshoek vormt de rode draad in het verhaal dat Worldstream wil neerzetten richting de msp. Het twintigjarig bestaan fungeert daarbij vooral als aanleiding om terug te kijken naar wat wel en niet veranderd is. “We zijn twintig jaar verder en de wereld ziet er anders uit, maar over continuïteit is er eigenlijk weinig veranderd,” zegt Van der Zwan. “Twintig jaar geleden dacht je al na over afhankelijkheid van één leverancier of één datacenter. Dat gesprek is alleen opnieuw verpakt.”

Soevereiniteit als containerbegrip

Binnen het Europese IT-landschap is soevereiniteit uitgegroeid tot een breed begrip dat voor elke organisatie iets anders betekent. Van der Zwan ziet dat veel partijen het begrip inzetten als marketinginstrument, terwijl het volgens hem juist vraagt om een bredere blik. “Iedere organisatie hanteert zijn eigen definitie,” legt hij uit. “Het is verleidelijk om te roepen dat je volledig soeverein bent omdat je alles zelf beheert. Dat is maar een deel van het verhaal.”

Waar veel discussies focussen op herkomst van technologie of geografische grenzen, kijkt Worldstream vooral naar weerbaarheid op lange termijn. Soevereiniteit gaat volgens Van der Zwan minder over het vermijden van bepaalde leveranciers en meer over het creëren van handelingsruimte. “Je moet accepteren dat je niet weet wat er morgen gebeurt,” zegt hij. “De vraag is welke keuzes je vandaag maakt zodat je morgen nog kunt bewegen.”

Die visie leidt tot een genuanceerde positie in een debat dat vaak zwart-wit wordt gevoerd. Amerikaanse technologie uitsluiten is volgens hem geen realistisch uitgangspunt. “Ik ben ook fan van Amerikaanse technologie,” zegt Van der Zwan. “Het brengt dingen die je ergens anders niet vindt. Alleen moet je wel nadenken over wat-als-scenario’s als je er volledig afhankelijk van wordt.”

Van hype naar weerbaarheid

Volgens Worldstream ligt het risico vooral in het zoeken naar snelle oplossingen die op langere termijn nieuwe afhankelijkheden creëren. Van der Zwan ziet regelmatig organisaties die een Europese aanbieder kiezen om geopolitieke redenen, waarna investeringen of overnames alsnog voor nieuwe afhankelijkheden zorgen. “Je kunt een oplossing kiezen die vandaag goed voelt,” zegt hij, “en morgen ontdekken dat de situatie alweer veranderd is.”

Die gedachte sluit aan bij bredere ontwikkelingen rond regelgeving en compliance. Initiatieven zoals NIS2, ISO-certificering en sectorale richtlijnen dwingen organisaties om structureel na te denken over continuïteit. Voor Van der Zwan staat vast dat certificering alleen waarde heeft als het onderdeel wordt van de dagelijkse praktijk. “Als je het alleen doet voor het stickertje, verzamel je bewijs omdat iemand erom vraagt,” zegt hij. “Dan mis je de kans om er echt een beter bedrijf van te maken.”

Infrastructuur als fundament

Hoewel Worldstream zich nadrukkelijk positioneert als cloudinfrastructuurprovider en niet als managed servicepartij, ziet het bedrijf een duidelijke rol in het vergroten van weerbaarheid bij klanten. De focus ligt op het bouwen van een robuuste onderlaag waarop partners hun eigen diensten kunnen ontwikkelen. “Wij beheren geen applicaties van klanten,” zegt Van der Zwan. “Wat we wel doen, is een fundament neerleggen waar zij op kunnen leunen.”

Dat fundament bestaat uit een netwerkarchitectuur die autonoom kan functioneren, redundante locaties en geïntegreerde bescherming tegen aanvallen zoals DDoS. Volgens Van der Zwan draait het om het vereenvoudigen van complexe infrastructuurvraagstukken. “Complexe materie eenvoudig maken is misschien wel het lastigste wat er is,” zegt hij. “Daar maken wij dagelijks keuzes in, zodat klanten zich kunnen richten op hun eigen dienstverlening.”

Voor msp’s vormt die aanpak een interessant vertrekpunt. Veel dienstverleners willen meerwaarde creëren bovenop infrastructuur zonder zelf grote investeringen te doen in datacenters of netwerken. Worldstream werkt veel met msp’s, maar ondersteunt ook digital agencies en grote interne IT-afdelingen die zelf regie willen houden over hun stack.

Gaming-DNA als onverwachte basis

Een opvallend element in het verhaal van Worldstream is de oorsprong van het netwerk. Het bedrijf begon ooit in de gamingsector, waar lage latency en hoge performance doorslaggevend zijn. Die focus blijkt nu een voordeel in een markt waar steeds meer bedrijfskritische workloads naar de cloud verschuiven. “Als iets perfect moet werken voor gaming, heb je een uitmuntend netwerk nodig,” zegt Van der Zwan. “Die basis komt nu goed van pas bij zakelijke workloads.”

De technische erfenis uit die periode vertaalt zich volgens hem in een infrastructuur die is ontworpen voor snelheid en schaalbaarheid. Dat sluit aan bij de groeiende vraag naar performance-gevoelige toepassingen, van realtime analytics tot AI-workloads. Voor partners betekent het dat ze een platform hebben waarop ze kunnen bouwen zonder zelf de complexiteit van de onderliggende infrastructuur te beheren.

Menselijke support als onderscheid

Naast techniek noemt Worldstream ook de menselijke factor als belangrijk onderscheidend element. Volgens Van der Zwan blijkt uit gesprekken met klanten dat directe support en meedenkend vermogen vaak zwaarder wegen dan pure specificaties. “Als je ons belt, krijg je een engineer aan de lijn,” zegt hij. “Dat is voor veel organisaties nog steeds een verschil.”

Die nadruk op bereikbaarheid en expertise sluit aan bij de bredere positionering van het bedrijf: geen hypegedreven boodschap, maar een focus op stabiliteit en voorspelbaarheid. Het motto van Worldstream, ‘solid IT, no surprises’, vat die aanpak samen.

Een andere toon in het debat

Wat dit verhaal vooral typeert, is de poging om afstand te nemen van extreme standpunten in het soevereiniteitsdebat. In plaats van een exclusieve focus op nationale oplossingen pleit Van der Zwan voor een pragmatische benadering waarin diversificatie en continuïteit centraal staan. “Het gesprek overstijgt leveranciers,” zegt hij. “Het gaat over hoe je omgaat met onzekerheid.”

Die boodschap sluit aan bij de realiteit waarin veel msp’s opereren: een hybride landschap van internationale platforms, lokale infrastructuur en steeds strengere regelgeving. Voor Worldstream is het doel om daarin een bouwsteen te zijn, geen allesomvattende oplossing. Of, zoals Van der Zwan het zelf samenvat: “Wij willen niet de hype volgen. We willen dat klanten morgen nog keuzes hebben.”

Westcon-Comstor heeft zijn supportdiensten uitgebreid voor partners die werken met securityplatforms van CrowdStrike en Zscaler. De distributeur gaat in Europa Level 1- en Level 2-ondersteuning leveren rond het Falcon-platform van CrowdStrike en voegt aanvullende supportmogelijkheden toe aan bestaande programma’s rond Zscaler. Daarmee verschuift de rol van distributie verder richting operationele dienstverlening binnen het security-ecosysteem.

De nieuwe ondersteuning voor CrowdStrike wordt aangeboden via het Authorised Support Partner Programme en is beschikbaar in meerdere Europese talen. Volgens Westcon-Comstor moet dit de regionale supportcapaciteit vergroten en partners sneller toegang geven tot technische ondersteuning. De diensten worden geleverd vanuit supportcentra in Berlijn en Madrid.

Met de uitbreiding bouwt de distributeur voort op bestaande initiatieven rond Zscaler, waaronder het Westcon MSSP for Zscaler Programme en de gespecialiseerde businessunit Z Strike. In dat model fungeert Westcon-Comstor als centraal aanspreekpunt voor troubleshooting en escalaties, waarbij partners Level 1- en Level 2-support via de distributeur kunnen laten verlopen.

De stap past binnen een bredere ontwikkeling waarbij distributeurs een actievere rol krijgen in dagelijkse supportprocessen. Vendors zoeken naar manieren om hun diensten sneller schaalbaar te maken, terwijl partners vaak moeite hebben om voldoende gespecialiseerde securitykennis beschikbaar te houden. Door supporttaken deels bij distributie te beleggen ontstaat een extra laag tussen vendor en partner, wat processen kan vereenvoudigen maar ook de afhankelijkheid van het channel vergroot.

Voor partners betekent dit dat operationele ondersteuning steeds vaker via hun distributeur loopt in plaats van direct via de leverancier. Dat kan zorgen voor kortere lijnen en lokale taalondersteuning, maar verandert ook de manier waarop escalaties en SLA-afspraken worden ingericht. De uitbreiding laat zien dat support steeds meer onderdeel wordt van het services-gedreven model dat binnen securitydistributie terrein wint.

Volgens Westcon-Comstor is het doel om partners te helpen bij het leveren van securitydiensten zonder dat zij alle specialistische support zelf hoeven op te bouwen. CrowdStrike en Zscaler zien in het model vooral een manier om hun Europese partnernetwerk sneller te laten groeien en klanten toegang te geven tot lokale ondersteuning.

In 90% van de ransomware-incidenten in 2025 werd misbruik gemaakt van firewalls. Dat blijkt uit het nieuwste Managed XDR Global Threat Report van Barracuda. Aanvallers benutten vooral niet-gepatchte software en kwetsbare accounts. In het snelste waargenomen incident zat slechts drie uur tussen inbraak en versleuteling.

Uit het rapport van Barracuda Networks komt naar voren dat firewalls een centrale rol spelen in recente ransomware-aanvallen. In negen van de tien onderzochte incidenten maakten aanvallers misbruik van een kwetsbaarheid of een zwak account op de firewall. Daarmee kregen zij toegang tot het netwerk en wisten zij beveiligingsmaatregelen te omzeilen, waarna schadelijk verkeer buiten beeld bleef.

De kortste aanvalstijd werd gemeten bij een incident met Akira-ransomware. Tussen de initiële inbraak en de versleuteling van data zat drie uur. Zulke korte doorlooptijden verkleinen de reactietijd aanzienlijk en passen binnen een bredere ontwikkeling waarin ransomwaregroepen hun processen verregaand automatiseren.

Ook laterale bewegingen blijken een sterke indicator. In 96% van de incidenten waarbij aanvallers zich binnen het netwerk verplaatsten, volgde uiteindelijk een ransomware-aanval. Zodra een aanvaller toegang heeft tot een onbeschermd endpoint, wordt actief gezocht naar andere systemen om de impact te vergroten. Het moment van laterale beweging markeert daarmee vaak de overgang van verkenning naar uitvoering.

Supply chain-aanvallen en derde partijen spelen eveneens een grotere rol. 66% van de incidenten had betrekking op third party software of een externe ketenpartner, tegenover 45% in 2024. Aanvallers benutten kwetsbaarheden in externe componenten om beveiligingslagen te omzeilen en hun bereik te vergroten. Die verschuiving sluit aan bij een bredere trend waarin indirecte toegangsroutes aantrekkelijker worden dan frontale aanvallen.

Opvallend is dat een op de tien gedetecteerde kwetsbaarheden een bekende exploit betrof. De meest aangetroffen kwetsbaarheid dateert uit 2013, CVE-2013-2566. Deze fout zit in een verouderd versleutelingsalgoritme dat nog voorkomt in legacy servers, embedded devices en applicaties. Dat juist oudere kwetsbaarheden blijven opduiken, laat zien dat patchmanagement en uitfasering van legacy-systemen nog altijd aandacht vragen.

Daarnaast signaleren de onderzoekers misbruik van legitieme IT-tools, waaronder remote access software, en het gebruik van onbeveiligde devices. Verouderde versleuteling en uitgeschakelde endpoint security vergroten het risico verder. Afwijkend inloggedrag en misbruik van privileged accounts gelden volgens het rapport als terugkerende waarschuwingssignalen.

De bevindingen zijn gebaseerd op de Managed XDR-dataset van Barracuda, met meer dan twee biljoen IT-events uit 2025, bijna 600.000 security alerts en meer dan 300.000 beveiligde endpoints, firewalls, servers en cloudassets. Het rapport schetst daarmee een beeld van een dreigingslandschap waarin bestaande kwetsbaarheden, ketenafhankelijkheid en snelheid van uitvoering samenkomen.

Veeam Software past zijn EMEA-partnerstrategie aan om beter aan te sluiten bij de groei van SaaS-diensten en de toenemende vraag naar databeveiliging binnen grotere omgevingen. De leverancier kondigde een herstructurering van zijn channelorganisatie aan, waarbij nieuwe leiderschaprollen moeten zorgen voor een sterkere focus op enterprise-samenwerkingen en cloudgebaseerde diensten.

De stap past binnen een bredere beweging van Veeam richting een SaaS-first model. Met uitbreidingen rond Veeam Data Cloud en investeringen in AI-gedreven databeheer verschuift het zwaartepunt van traditionele back-upsoftware naar geïntegreerde dataprotectie en databeheer in hybride omgevingen. Volgens het bedrijf vraagt die ontwikkeling om een andere manier van samenwerken met partners en allianties in de regio.

In plaats van regionale verkoopstructuren wil Veeam het ecosysteem meer rond oplossingen organiseren. Daarbij krijgen enterprise-partners en strategische integraties een grotere rol, terwijl het partnerprogramma verder wordt afgestemd op cloudservices en terugkerende diensten. De benoeming van nieuwe channel-directors voor onder meer UKI, EMEA East en enterprise-allianties is een onderdeel van deze reorganisatie, maar staat niet op zichzelf.

Voor partners betekent de aanpassing vooral dat de focus verschuift naar diensten rond SaaS, dataveiligheid en langdurige samenwerking in grotere trajecten. Tegelijk blijft het partnerkanaal volgens Veeam de belangrijkste route naar de markt in EMEA.

Het aantal nieuw geregistreerde domeinnamen met de extensie .ai groeit snel. Nieuwe cijfers van webhostingprovider TransIP laten zien dat het marktaandeel van .ai-domeinen in Nederland in 2025 met 85 procent is toegenomen. Daarmee zet de sterke groei van AI-gerelateerde websites voor het tweede jaar op rij door.

Volgens TransIP kiezen steeds meer organisaties bewust voor een domeinextensie die aansluit bij hun activiteiten. Met een .ai-domeinnaam willen bedrijven direct zichtbaar maken dat hun diensten draaien om AI, bijvoorbeeld rond automatisering, data-analyse of digitale assistenten. De extensie, die enkele jaren geleden nog nauwelijks werd gebruikt, is inmiddels doorgestoten naar plek twintig van de meest gekozen domeinextensies in Nederland. Het aandeel ligt nu op 0,13 procent van alle nieuw geregistreerde domeinen.

De groei komt vooral uit de hoek van softwareontwikkelaars en SaaS-aanbieders. Veel nieuwe .ai-websites richten zich op nichetoepassingen zoals marketingautomatisering, klantinteractie, contentcreatie en analyseplatforms. Ook consultancybureaus en gespecialiseerde AI-dienstverleners kiezen vaker voor de extensie om hun positionering online duidelijker te maken.

Beeld: TransIP

Ondanks de opmars van .ai blijft het .nl-domein veruit de meest gekozen extensie in Nederland. Met een marktaandeel van 61 procent behoudt .nl een stevige voorsprong. Daarnaast heeft ruim een op de acht nieuw geregistreerde websites een .com-domein. Tegelijkertijd neemt het aantal registraties van extensies als .info, .net en .nu al enkele jaren af.

Volgens TransIP wijst de verschuiving naar extensies als .ai, .tech en .app op een bredere trend waarbij ondernemers hun domeinnaam steeds vaker inzetten als onderdeel van hun positionering. De provider verwacht dat deze ontwikkeling doorzet, nu AI een steeds grotere rol speelt binnen digitale diensten en online zichtbaarheid.

Securitybedrijf Kaspersky heeft een nieuwe Android-malwarevariant ontdekt onder de naam Keenadu. De malware kan aanvallers in sommige gevallen volledige controle geven over besmette apparaten en verspreidt zich via firmware, systeemapps en officiële appstores.

Volgens Kaspersky waren in februari 2026 meer dan 13.000 apparaten besmet met Keenadu. De meeste infecties zijn vastgesteld in Rusland, Japan, Duitsland, Brazilië en Nederland, daarnaast zijn ook in andere landen besmettingen gemeld.

Keenadu wordt op drie manieren verspreid. In de eerste variant is de malware geïntegreerd in de firmware van bepaalde Android-tablets. Net als bij de eerder ontdekte Triada-backdoor kan de malware tijdens de productieketen in het apparaat zijn geplaatst. In deze vorm fungeert Keenadu als backdoor met verregaande rechten. De malware kan geïnstalleerde apps infecteren, nieuwe apps via APK-bestanden toevoegen en permissies toekennen. Daarmee kunnen onder meer media, berichten, bankgegevens, locatiegegevens en incognito-zoekopdrachten in Chrome worden buitgemaakt.

De firmwarevariant activeert zich niet wanneer de taalinstelling een Chinees dialect betreft in combinatie met een Chinese tijdzone. Ook blijft de malware inactief als Google Play Store en Google Play Services niet op het apparaat aanwezig zijn.

Een tweede verspreidingsvorm betreft integratie in systeemapps met verhoogde rechten. In deze variant is de functionaliteit beperkter, maar kan de malware alsnog ongemerkt apps installeren. Kaspersky trof Keenadu aan in een applicatie voor gezichtsherkenning waarmee apparaten kunnen worden ontgrendeld. Ook werd de malware aangetroffen in een app die verantwoordelijk is voor het beheer van het startscherm.

De derde variant werd aangetroffen in meerdere apps in Google Play, met name in applicaties voor slimme beveiligingscamera’s. Deze apps zijn gezamenlijk meer dan 300.000 keer gedownload voordat ze uit de store werden verwijderd. Na installatie konden de apps onzichtbare browsertabs openen om websites te bezoeken zonder medeweten van de gebruiker. Eerder onderzoek liet zien dat vergelijkbare besmette apps ook via losse APK-bestanden en alternatieve appstores werden verspreid.

Kaspersky spreekt van een groeiend probleem rond voorgeïnstalleerde malware op Android-apparaten. Volgens het bedrijf kunnen apparaten al bij aankoop besmet zijn zonder dat de gebruiker handelingen verricht. De leverancier stelt dat fabrikanten waarschijnlijk niet op de hoogte waren van een inbreuk in de toeleveringsketen, omdat de malware zich voordoet als legitieme systeemcomponenten. Het bedrijf wijst op het belang van controle in alle fasen van het productieproces om besmette firmware te voorkomen.

Westcon-Comstor heeft een pan-Europese distributieovereenkomst gesloten met UiPath. De samenwerking richt zich op robotic process automation en workflowautomatisering, met nadruk op diensten, financiering en terugkerende modellen.

De overeenkomst bouwt voort op bestaande distributieactiviteiten van UiPath in het Verenigd Koninkrijk, Frankrijk, Spanje, Portugal en Duitsland. Door de samenwerking op Europees niveau te bundelen ontstaat volgens beide partijen één uniforme route naar de markt. Daarbij ligt de focus op packaged services en modellen met terugkerende inkomsten.

UiPath ontwikkelt software voor robotic process automation en workflowautomatisering op basis van ai. Met deze technologie kunnen repetitieve processen en digitale taken worden geautomatiseerd. Westcon-Comstor wil partners ondersteunen bij het aanbieden van deze oplossingen, inclusief zogenoemde agentic workflows.

Partners krijgen via de distributeur toegang tot white-label professionele diensten rond implementaties van UiPath. Daarnaast biedt Westcon-Comstor presales-ondersteuning, leadkwalificatie via het Intelligent Demand-programma en financieringsmogelijkheden via Flex. Daarmee willen de bedrijven projecten ondersteunen waarbij budgetten gefaseerd worden ingezet.

Volgens Westcon-Comstor past de samenwerking binnen een bredere strategie waarin distributeurs een meer services-gedreven rol innemen. Het bedrijf wil partners ondersteunen bij implementatie, financiering en opschaling van automatiseringsprojecten. UiPath ziet in de markt een verschuiving van afzonderlijke botprojecten naar organisatiebrede trajecten. Dat vraagt volgens de leverancier om extra commerciële en technische ondersteuning vanuit het kanaal.

De overeenkomst sluit aan bij een bredere ontwikkeling waarbij automation en ai steeds vaker als geïntegreerde programma’s worden aangeboden, inclusief testing, operations en workflow-optimalisatie. Westcon-Comstor wil met de uitbreiding zijn portfolio verder verbreden richting ai-gedreven automatisering en partners ondersteunen bij het ontwikkelen van aanvullende diensten rond deze technologie.

Onderzoek van Arctic Wolf laat zien dat het aantal ransomware-aanvallen in 2025 is toegenomen, terwijl de gemiddelde initiële losgeldeis daalde naar 414.000 dollar. Volgens het bedrijf stemmen criminelen hun eisen strategisch af om de kans op betaling te vergroten. De totale schade blijft hoog.

Arctic Wolf meldt dat de gemiddelde initiële losgeldeis bij ransomware-aanvallen is gedaald naar 414.000 dollar, bijna de helft van het niveau van een jaar eerder. Het is volgens het bedrijf de eerste daling in vier jaar tijd. De onderzoekers stellen dat criminelen bewust lagere bedragen vragen om de kans op uitbetaling te vergroten.

Ransomware bleef in 2025 de meest voorkomende vorm van cybercriminaliteit in de dossiers die Arctic Wolf behandelde, goed voor 44 procent van alle incidenten. Business Email Compromise was verantwoordelijk voor 26 procent van de incidenten en data-incidenten voor 22 procent. Bij die laatste categorie gaat het om ongeoorloofde toegang tot of diefstal van data zonder dat ransomware of een kwaadwillende insider de directe oorzaak is.

Bij de ransomware-incidenten waarbij het incident response-team van Arctic Wolf in 2025 betrokken was, werd in totaal meer dan 302 miljoen dollar aan losgeld geëist. Daarvan werd uiteindelijk bijna 16,5 miljoen dollar betaald. In 77 procent van de gevallen besloten getroffen partijen geen losgeld te betalen.

In 23 procent van de incidenten werd wel onderhandeld. Volgens Arctic Wolf wist het incident response-team in die gevallen gemiddeld 67 procent van de oorspronkelijke eis te reduceren. Door die reducties en het grote aantal organisaties dat niet betaalt, kwam uiteindelijk ongeveer 5 procent van het totaal geëiste bedrag daadwerkelijk bij de aanvallers terecht. Dat betekent dat circa 95 procent van het geëiste losgeld niet is uitbetaald.

Volgens het bedrijf worden losgeldeisen afgestemd op factoren zoals de sector, de verwachte impact van downtime en de aanwezigheid van een cyberverzekering. Hoewel de initiële eisen dalen, zorgen incidentele hoge betalingen er volgens het bedrijf voor dat sommige groepen hogere bedragen blijven vragen.

Om de impact van ransomware te beperken wijst Arctic Wolf op basismaatregelen zoals het gebruik van multi-factor authentication, het maken van back-ups, tijdige patching en het beperken van toegangsrechten. Daarnaast noemt het bedrijf het opstellen en oefenen van incident response-plannen en het vroegtijdig detecteren van afwijkend gedrag als belangrijke onderdelen van de aanpak.

Uit het Unit 42 Global Incident Response Report 2026 van Palo Alto Networks blijkt dat cyberaanvallen sneller en complexer worden. AI, zwakke plekken in identiteitsbeheer en complexe IT-omgevingen spelen volgens het bedrijf een centrale rol bij datalekken. Het aanvalstempo is in een jaar tijd verviervoudigd.

Palo Alto Networks heeft het Unit 42 Global Incident Response Report 2026 gepubliceerd. Het rapport is gebaseerd op een analyse van meer dan 750 cyberincidenten met grote impact. Volgens de onderzoekers zetten aanvallers AI in gedurende de volledige aanvalsketen, waardoor de tijd tussen eerste toegang en data-exfiltratie bij de snelste aanvallen is teruggebracht tot 72 minuten. Dat betekent een verviervoudiging van het tempo ten opzichte van een jaar eerder.

Uit het onderzoek blijkt dat complexiteit binnen IT-omgevingen een belangrijke factor is. In 89 procent van de onderzochte incidenten werden zwakke plekken in identiteitsbeheer misbruikt. Daarnaast strekte 87 procent van de aanvallen zich uit over meerdere aanvalsvlakken, waaronder endpoints, cloudomgevingen, SaaS-applicaties en identiteitssystemen. In enkele gevallen opereerden aanvallers gelijktijdig op tien verschillende fronten.

Identiteitsgerelateerde technieken vormen in 65 procent van de gevallen het startpunt van een aanval. Daarbij gaat het onder meer om social engineering en het misbruiken van inloggegevens. Kwetsbaarheden liggen aan de basis van 22 procent van de aanvallen. De browser speelt volgens het rapport in 48 procent van de incidenten een centrale rol, waarbij reguliere websessies worden ingezet om inloggegevens te verkrijgen en beveiligingsmaatregelen te omzeilen.

Het aantal aanvallen via externe SaaS-applicaties is sinds 2022 met een factor 3,8 toegenomen en vertegenwoordigt 23 procent van het totaal. Aanvallers maken daarbij gebruik van onder meer OAuth-tokens en API-sleutels om zich binnen netwerken te verplaatsen.

Volgens de onderzoekers is 90 procent van de datalekken terug te voeren op misconfiguraties of beveiligingslekken. Complexiteit, beperkte zichtbaarheid en een overmaat aan vertrouwen dragen volgens het bedrijf structureel bij aan het succes van aanvallen.

Het rapport adviseert om beveiliging integraal te organiseren in één geïntegreerde platformaanpak. Daarbij noemt het bedrijf onder meer het versterken van security operations met AI en automatisering, het integreren van beveiliging in software- en AI-ontwikkelprocessen, het centraliseren van identiteitsbeheer en het toepassen van een zero trust-benadering waarbij interacties continu worden geverifieerd. Volgens het bedrijf is dat nodig om de steeds kortere aanvalscyclus effectief te kunnen beheersen.