Rapport 2026: 79% van ransomware begint met gestolen inlogs

Ransomware's nieuwe voordeur: jouw login, geen softwarefout

Jarenlang draaide cyberbeveiligingsadvies om het patchen van software voordat aanvallers een bekende kwetsbaarheid konden misbruiken. Dat advies telt nog steeds, maar een analyse van ransomware-incidenten uit 2026 laat zien dat dit niet langer is waar de meeste aanvallen beginnen. Volgens de bevindingen komt 79% van de ransomware-aanvallen nu voort uit gecompromitteerde identiteiten: gestolen gebruikersnamen en wachtwoorden die zijn buitgemaakt via phishing-e-mails, social engineering-gesprekken en credential stuffing-campagnes die gelekte inloggegevens hergebruiken op meerdere sites.

In de praktijk betekent dit dat ransomware-bendes steeds vaker het technische werk overslaan van het vinden en misbruiken van een ongepatchte server. In plaats daarvan loggen ze simpelweg in met inloggegevens die medewerkers onbewust hebben afgestaan, of het nu via een overtuigende neppe inlogpagina is, een telefoontje van iemand die zich voordoet als IT-ondersteuning, of een wachtwoord dat is hergebruikt van een oud, nietsverwant datalek. Het resultaat is dezelfde verwoestende uitkomst: versleutelde bestanden, stilgelegde operaties en een losgeldvereiste, maar het toegangspunt is verschoven van code naar mensen.

Waarom identiteit het voorkeursaanvalspad is geworden

Deze verschuiving is logisch vanuit het perspectief van een aanvaller. Het misbruiken van een softwarekwetsbaarheid vereist onderzoek, timing en vaak een race tegen beveiligingspatches. Het stelen van een inloggegevens kan daarentegen op grote schaal worden gedaan met goedkope phishing-kits of geautomatiseerde tools die gelekte gebruikersnaam-wachtwoordcombinaties tegelijk tegen tientallen diensten testen. Als zelfs maar een klein deel van de medewerkers wachtwoorden hergebruikt of trapt in een goed opgezette phishing-bericht, krijgen aanvallers een toegangspunt dat identiek oogt aan legitieme toegang. Er gaat geen alarm af voor een gestolen wachtwoord dat correct wordt gebruikt, en dat is precies waarom het de dominante methode is geworden. Zoals gerapporteerd in Sophos: 79% van ransomware begint met gestolen inloggegevens, volgen beveiligingsonderzoekers deze trend op de voet, en de nieuwste gegevens uit 2026 bevestigen dat het geen toeval is, maar een aanhoudend patroon in het ransomware-landschap.

Eenmaal binnen bewegen aanvallers die gestolen inloggegevens gebruiken zich vaak stil. Ze kunnen inloggen op e-mailsystemen, cloudopslag en interne netwerken met dezelfde toegang die een medewerker dagelijks zou gebruiken, waardoor vroege detectie moeilijk wordt. Dit is een betekenisvolle afwijking van kwetsbaarheidsgerichte aanvallen, die doorgaans meer identificeerbare technische vingerafdrukken achterlaten die beveiligingsteams kunnen opmerken.

De privacyhoek: wat gestolen inloggegevens echt blootleggen

De privacy-implicaties hiervan gaan verder dan de stilstand van één bedrijf. Wanneer ransomware-groepen toegang krijgen via gecompromitteerde identiteiten, krijgen ze vaak toegang tot veel meer dan de systemen die nodig zijn om versleuteling in te zetten. E-mailaccounts, klantgegevens, HR-dossiers en interne communicatie bevinden zich vaak achter dezelfde login. Een gestolen inloggegevens opent niet alleen de deur naar ransomware, het kan ook persoonlijke gegevens blootleggen van medewerkers, klanten en zakenpartners die geen inspraak hadden in hoe dat wachtwoord werd beschermd.

Dit benadrukt ook waarom wachtwoordhygiëne en bescherming van inloggegevens persoonlijke privacykwesties zijn, niet alleen IT-zorg van bedrijven. Elke medewerker die een wachtwoord hergebruikt tussen een werkaccount en een persoonlijke winkelsite, of die inloggegevens invoert op een vervalste inlogpagina, overhandigt aanvallers mogelijk een hoofdsleutel. De bevindingen van Sophos: 79% van ransomware begint met gestolen inloggegevens bevestigen dat dit geen zeldzaam randgeval is; het is nu de belangrijkste route waar ransomware-groepen op vertrouwen.

Wat dit voor jou betekent

Als je een medewerker bent bij welke organisatie dan ook, betekent deze data dat je individuele gewoonten zwaarder wegen dan je misschien denkt. Een enkel hergebruikt wachtwoord of één haastige klik op een phishing-link kan het verschil zijn tussen een beheersbaar incident en een bedrijfsbrede inbreuk. Als je IT of beveiliging beheert voor een bedrijf, is de boodschap even duidelijk: het patchen van systemen blijft belangrijk, maar identiteitsbescherming verdient nu gelijke, zo niet grotere prioriteit. Multi-factorauthenticatie, phishing-bestendige inlogmethoden en monitoring op credential stuffing-pogingen zijn geen optionele extra's meer, het zijn centrale verdedigingen.

Voor gewone gebruikers versterkt dit ook een bredere privacyles: de wachtwoorden die je kiest en hergebruikt hebben gevolgen die veel verder reiken dan je eigen accounts. Een gelekte inloggegevens van een nietsverwante website kan uiteindelijk het toegangspunt worden voor een aanval op het netwerk van je werkgever.

Praktische adviezen

• Gebruik unieke, sterke wachtwoorden voor elk account, vooral voor werkgerelateerde inlogs, en overweeg een wachtwoordmanager om dit praktisch te maken.
• Schakel multi-factorauthenticatie in waar het wordt aangeboden, vooral op e-mail- en externe toegangssystemen.
• Behandel onverwachte inlogverzoeken, urgente wachtwoordreset-e-mails of onbekende IT-gesprekken met scepsis en verifieer via een apart kanaal voordat je reageert.
• Als je organisatie phishingbewustzijnstraining aanbiedt, neem die dan serieus; het herkennen van een neppe inlogpagina of verdachte e-mail is nu een van de meest effectieve ransomware-verdedigingen die beschikbaar zijn.
• Controleer regelmatig of je inloggegevens zijn verschenen in bekende datalekken en wijzig onmiddellijk hergebruikte wachtwoorden.

De verschuiving van ransomware naar gecompromitteerde identiteiten betekent niet dat kwetsbaarheden er niet meer toe doen, maar het betekent wel dat het menselijke element het primaire strijdtoneel is geworden. Alert blijven op phishing-pogingen en goede hygiëne van inloggegevens toepassen is nu een van de meest praktische manieren waarop zowel individuen als organisaties hun risico kunnen verminderen.