Aanvallers gebruiken steeds vaker geautomatiseerde aanvalsscenario’s om kwetsbare cloudomgevingen op te sporen, binnen te dringen en hun toegang te gelde te maken. Dat blijkt uit een nieuw rapport van Fortinet. Misbruik van identiteiten is wereldwijd de meest gebruikte aanvalsmethode. Daarnaast ontbreken in veel omgevingen basale beveiligingsmaatregelen.
Fortinet baseert het 2026 Cloud-Native Threat Landscape Report volledig op gegevens uit zijn eigen platform FortiCNAPP. Het bedrijf registreerde wereldwijd 150 miljoen verkenningsactiviteiten, 2,3 miljard brute-forcepogingen en 1,7 miljard exploitatiepogingen. Volgens Fortinet laten die cijfers zien dat aanvallen op cloudomgevingen geen losse incidenten meer zijn. Aanvallers brengen omgevingen doorlopend in kaart, testen inloggegevens en misbruiken blootgestelde diensten.
Identiteitsmisbruik als toegangspoort
Het rapport stelt regionale verschillen vast, maar aanvallen volgen wereldwijd een vergelijkbaar patroon. Identiteitsmisbruik is de belangrijkste aanvalsmethode. In de regio Azië-Pacific kwam dit relatief het vaakst voor, kort gevolgd door Noord- en Zuid-Amerika.
Fortinet zag ook een omgekeerd verband tussen het aantal uitgevoerde penetratietests en het aantal succesvolle aanvallen op identiteiten. Het bedrijf concludeert daaruit dat proactieve red-teamtests in combinatie met het vroeg opsporen van kwetsbaarheden de risico’s kunnen verkleinen. In Noord- en Zuid-Amerika werden relatief de meeste red-teamtests uitgevoerd, gevolgd door Europa, het Midden-Oosten en Afrika. Fortinet geeft aan dat sterke authenticatie belangrijk blijft, maar slechts één beveiligingslaag vormt.
Ontbrekende basismaatregelen
Volgens het rapport ontbreken in cloudomgevingen regelmatig essentiële beveiligingsmaatregelen. De druk om applicaties en AI-diensten snel op te leveren leidt volgens Fortinet tot verkeerde configuraties, te ruime toegangsrechten, blootgestelde diensten en beperkt inzicht in wat er binnen een omgeving gebeurt. Dat maakt het voor aanvallers eenvoudiger om van initiële toegang door te stoten naar daadwerkelijke schade.
Het rapport noemt drie maatregelen die vaak ontbreken. Toegangssleutels worden niet minimaal elke 350 dagen vervangen. Network Access Control Lists staan onbeperkt inkomend verkeer toe. Security groups die aan een netwerkinterface zijn gekoppeld, laten inkomend verkeer via alle poorten toe.
Gekaapte cloudresources als verdienmodel
Datadiefstal blijft een belangrijk doel, maar veel aanvallers richten zich volgens Fortinet op het kapen van cloudresources voor direct financieel gewin. Het rapport beschrijft een terugkerend patroon van misbruik van e-maildiensten zoals Amazon Simple Email Service, cryptomining en ongeoorloofd gebruik van AI-diensten zoals Amazon Bedrock.
Een onverwachte stijging in het verbruik van cloud-, e-mail-, reken- of AI-diensten kan daarom wijzen op een gecompromitteerde omgeving, en hoeft dus niet alleen een kwestie van kostenbeheer te zijn. Fortinet pleit voor AI-gestuurde detectie van afwijkend gedrag, zodat beveiligingsteams misbruik vroeg kunnen herkennen voordat de kosten oplopen.
Kortere reactietijd voor verdedigers
Volgens het rapport is de tijd tussen het ontdekken van een kwetsbaarheid en het misbruiken ervan teruggelopen van weken naar uren. Aanvallers zetten daarbij AI en automatisering in. Daardoor blijft er minder tijd over om een aanval te detecteren en erop te reageren.
Fortinet benoemt drie prioriteiten om dat verschil in snelheid te verkleinen: exploiteerbare risico’s continu in kaart brengen en prioriteren, AI-native beveiliging inzetten van code tot runtime en incidentrespons, en de weerbaarheid toetsen door actief te testen. Het bedrijf adviseert beveiligingsteams om geautomatiseerde processen in te zetten gedurende de volledige levenscyclus van applicaties, met aandacht voor identiteiten, workloads, AI-systemen, data, toeleveringsketens en de runtime-omgeving.
Het volledige rapport is te lezen via 2026 Cloud-Native Threat Landscape Report.
