Wie klanten beheert, beheert ook hun risico. Aanvallers hebben dat allang door. Waarom zou je honderd bedrijven afzonderlijk binnendringen als één MSP toegang geeft tot al die omgevingen tegelijk? Supply chain-aanvallen via managed service providers groeien uit tot de meest dominante aanvalspatronen van dit moment. De vraag die elke MSP zichzelf moet stellen: ben ik zelf de zwakste schakel in de keten van mijn klanten?
Het antwoord op die vraag begint bij een simpele rekensom. Een aanvaller die een individueel MKB-bedrijf hackt, heeft één slachtoffer. Een aanvaller die de RMM-omgeving van een MSP overneemt, heeft er in één klap tientallen tot honderden. Die hefboomwerking maakt de MSP tot een aantrekkelijker doelwit dan welke eindklant dan ook. En de cijfers laten zien dat criminelen die logica inmiddels massaal volgen.
De duidelijkste indicator komt uit het jaarlijkse Data Breach Investigations Report van Verizon. In de editie van 2024 was bij 15 procent van alle onderzochte datalekken een derde partij betrokken. Een jaar later was dat aandeel verdubbeld naar 30 procent, de grootste sprong in de geschiedenis van het rapport. De editie van 2026 zet die lijn door: 48 procent van alle datalekken loopt inmiddels via een derde partij. Bijna de helft van alle incidenten begint dus bij een leverancier, een dienstverlener of een softwareketen, en steeds vaker is die dienstverlener een MSP.
Het aandeel datalekken waarbij een derde partij betrokken is, verdubbelde twee jaar op rij.
Ook op Europees niveau staat het thema hoog op de agenda. ENISA rekent in zijn Threat Landscape 2025 ruim 10 procent van alle geregistreerde incidenten in de EU tot supply chain-risico en noemt compromittering van softwareleveranciers, cloudintegrators en MSP- en MSSP-partners als de snelst groeiende aanvalspatronen. De schade is bovendien bovengemiddeld: IBM becijfert dat een supply chain-inbraak gemiddeld 267 dagen nodig heeft om ontdekt en ingedamd te worden, de langste doorlooptijd van alle aanvalstypen, met een gemiddelde schadepost van 4,9 miljoen dollar.
De RMM als distributiekanaal voor ransomware
Het draaiboek van zo’n aanval is inmiddels bekend terrein. De blauwdruk werd in 2021 gelegd met de aanval op Kaseya VSA, waarbij criminelen via zo’n zestig MSP’s naar schatting 1.500 bedrijven wisten te raken met ransomware. Sindsdien is het patroon verfijnd. In 2025 documenteerde Sophos hoe de DragonForce-groep drie kwetsbaarheden in de remote support-tool SimpleHelp aan elkaar knoopte (CVE-2024-57727, CVE-2024-57728 en CVE-2024-57726) om de RMM-omgeving van een MSP over te nemen. Vervolgens gebruikten de aanvallers die legitieme beheersoftware om klantomgevingen in kaart te brengen, data te stelen en ransomware uit te rollen alsof het een gewone software-update was.
De Amerikaanse cyberwaakhond CISA bracht er een aparte advisory over uit en waarschuwde dat aanvallers sinds januari 2025 structureel jagen op ongepatchte SimpleHelp-installaties. Onderzoekers van CrowdStrike zagen het misbruik van RMM-tools in aanvallen in één jaar met 70 procent toenemen. De aantrekkingskracht is logisch: RMM-verkeer wordt door securitycontroles doorgaans vertrouwd, de software staat op de allowlist en de aanvaller vindt alles wat hij nodig heeft al kant-en-klaar geïnstalleerd.
Hoe kwetsbaar zijn MSP’s zelf?
Hoe vaak gaat het daadwerkelijk mis? De CyberSmart MSP Survey 2026, een jaarlijks onderzoek onder 350 MSP- en MSSP-leiders in het Verenigd Koninkrijk en Ierland, geeft een ontnuchterend beeld. Driekwart van de ondervraagde MSP’s werd het afgelopen jaar minstens één keer gehackt. Meer dan de helft (54 procent) kreeg twee of meer incidenten voor de kiezen en bijna een derde zelfs drie of meer. Daarnaast meldde 43 procent een incident dat begon bij een eigen leverancier of derde partij. De MSP zit dus aan twee kanten van de keten: als doelwit én als doorgeefluik.
Driekwart van de MSP’s werd het afgelopen jaar minstens één keer gehackt.
Opvallend genoeg staat supply chain-risico bij diezelfde MSP’s op plek vijf van de zorgenlijst, achter onder meer AI-dreigingen en kostenstijgingen. Group-IB constateert in zijn High-Tech Crime Trends Report 2026 hetzelfde: MSP’s onderschatten de potentiële schaal van deze aanvallen, terwijl criminelen hen juist als sleutelpositie in de keten hebben aangemerkt. Die kloof tussen perceptie en werkelijkheid is misschien wel het grootste risico van allemaal.
De wetgever kijkt mee
Wie de urgentie zelf nog niet voelt, krijgt binnenkort hulp van de wetgever. In Nederland brengt de Cyberbeveiligingswet, de nationale invulling van NIS2, managed service providers expliciet onder toezicht. Dat betekent een zorgplicht, meldplicht bij incidenten en persoonlijke aansprakelijkheid van bestuurders. Het Verenigd Koninkrijk volgt een vergelijkbare route met de Cyber Security and Resilience Bill, die MSP’s voor het eerst onder formele regulering brengt. Uit het CyberSmart-onderzoek blijkt dat MSP’s die ontwikkeling grotendeels omarmen: 77 procent vindt dat de nieuwe regels ver genoeg gaan om de keten beter te beschermen. Als grootste zorgpunt noemt 42 procent de toegenomen aansprakelijkheid en de vraag hoe die in de praktijk wordt belegd.
Zo maak je van jezelf een hardere schakel
Het goede nieuws is dat de maatregelen die het verschil maken bekend zijn, betaalbaar en grotendeels organisatorisch van aard. Een MSP die serieus werk wil maken van zijn eigen weerbaarheid begint bij deze punten:
- Behandel je RMM- en remote access-tooling als kroonjuwelen. Patch deze systemen met voorrang, beperk de beheerconsole tot interne netwerken of een VPN en haal publieke internettoegang weg waar dat kan.
- Dwing phishing-bestendige MFA af op elk beheeraccount, zonder uitzonderingen voor engineers die het “even snel” moeten kunnen.
- Pas het least privilege-principe toe op klantomgevingen: geen permanente domain admin-rechten, wel just-in-time toegang met logging en sessie-opnames.
- Segmenteer je eigen omgeving zodat één gecompromitteerd technisch account nooit toegang geeft tot alle klanttenants tegelijk.
- Monitor je eigen infrastructuur met dezelfde middelen die je aan klanten verkoopt. Een MSP zonder EDR en detectie op de eigen RMM-servers verkoopt bescherming die hij zelf niet draagt.
- Stel eisen aan je eigen leveranciers. Vraag naar hun patchbeleid, incidenthistorie en certificeringen, want jouw keten begint bij hen.
- Oefen het scenario waarin je zelf het slachtoffer bent. Wie belt welke klant, binnen welke termijn, met welke boodschap? Een incident bij een MSP is per definitie ook een incident bij elke klant.
De kern van het verhaal is verantwoordelijkheid nemen voor de positie die je in de keten inneemt. Klanten besteden hun IT uit omdat ze ervan uitgaan dat de MSP het beter kan dan zijzelf. Dat vertrouwen is het fundament van het hele MSP-model. Aanvallers hebben ontdekt dat datzelfde vertrouwen ook hun kortste route naar binnen is. De MSP die zijn eigen beveiliging op orde heeft, beschermt daarmee dus veel meer dan alleen zichzelf. Zijn complete klantenbestand, zijn reputatie en uiteindelijk zijn bestaansrecht.
Bronnen
Verizon, Data Breach Investigations Report 2024, 2025 en 2026; CyberSmart, MSP Survey 2026 (onderzoek onder 350 MSP- en MSSP-leiders in het VK en Ierland); Sophos MDR, DragonForce actors target SimpleHelp vulnerabilities to attack MSP, customers (mei 2025); CISA, Advisory AA25-163A over misbruik van ongepatchte SimpleHelp RMM (juni 2025); ENISA, Threat Landscape 2025; IBM, Cost of a Data Breach Report 2025; Group-IB, High-Tech Crime Trends Report 2026; CrowdStrike, Global Threat Report (RMM-misbruik in aanvallen).
