BlackFog Q2-rapport: niet-openbaar gemaakte ransomware-aanvallen stijgen met 40%

Een groeiende kloof tussen ransomware-aanvallen en publieke openbaarmaking

Ransomware-preventiebedrijf BlackFog heeft zijn Q2-rapport over wereldwijde ransomware-activiteit uitgebracht, en het belangrijkste cijfer is opvallend: niet-openbaar gemaakte ransomware-aanvallen stegen met 40% op jaarbasis. Met andere woorden, een groeiend deel van de ransomware-incidenten vindt plaats zonder dat het publiek, toezichthouders of zelfs getroffen klanten er ooit via officiële kanalen van horen.

Dat onderscheid is belangrijk. Ransomware-aanvallen die de krantenkoppen halen, zijn meestal die waarbij aanvallers publiekelijk de verantwoordelijkheid opeisen, gestolen data lekken of een organisatie tot openbaarmaking dwingen omdat klanten, partners of de media de verstoring opmerken. Niet-openbaar gemaakte aanvallen zijn anders. Dit zijn incidenten die getroffen organisaties ofwel in stilte oplossen, afkopen of op een andere manier afhandelen zonder een openbare melding te activeren, ook al kunnen gegevens daarbij zijn ingezien, versleuteld of geëxfiltreerd.

De gegevens van BlackFog suggereren dat deze stillere categorie aanvallen nu sneller groeit dan de zichtbaardere, publiekelijk gemelde aanvallen. Voor een sector die al jaren probeert de transparantie rond datalekken te verbeteren, is dat een opmerkelijke verschuiving, met reële gevolgen voor iedereen wiens persoonlijke gegevens zich mogelijk in de systemen van een bedrijf bevinden.

Waarom 'niet openbaar gemaakt' niet 'ingedamd' betekent

Het is verleidelijk om aan te nemen dat een aanval die nooit het nieuws haalt, klein moet zijn geweest of succesvol is ingedamd. De bevindingen van BlackFog spreken die aanname tegen. Een ransomware-incident kan aanzienlijke data-exfiltratie omvatten, wat betekent dat aanvallers gevoelige bestanden kopiëren voordat of in plaats van systemen te versleutelen, zonder dat de organisatie ooit formeel erkent dat het is gebeurd.

Er zijn verschillende redenen waarom een bedrijf publieke openbaarmaking kan vermijden: onzekerheid of een inbreuk aan wettelijke meldingsdrempels voldoet, de wens om reputatieschade te voorkomen, of simpelweg een stille onderhandeling en betaling die de situatie oplost voordat toezichthouders erbij betrokken raken. Geen van deze redenen laat het onderliggende privacyrisico verdwijnen. Als klantgegevens, personeelsgegevens of gezondheids- en financiële informatie zijn blootgesteld tijdens een niet-openbaar gemaakte aanval, lopen de mensen van wie de gegevens zijn gestolen nog steeds dezelfde downstream risico's, identiteitsdiefstal, fraude, gerichte phishing, ongeacht of er ooit een persbericht is uitgegeven.

Dit is waar het gesprek over ransomware steeds meer overlapt met het gesprek over kwetsbaarheidsbeheer. Veel ransomware-operators verkrijgen hun eerste voet aan de grond via ongepatchte of actief geëxploiteerde softwarefouten. Instanties zoals CISA blijven kwetsbaarheden signaleren die aanvallers actief gebruiken om verhoogde toegang tot systemen te krijgen, waaronder problemen zoals CVE-2026-31431, een Linux root access-fout die actief wordt geëxploiteerd. Wanneer organisaties bekende geëxploiteerde kwetsbaarheden niet snel patchen, creëren ze precies het soort opening dat leidt tot de ransomware-incidenten die BlackFog volgt, openbaar gemaakt of niet.

De omvang van het onontdekte probleem

Een reden waarom niet-openbaar gemaakte aanvallen vaker voorkomen, kan simpelweg het enorme aantal exploiteerbare zwakheden in moderne software zijn. Onderzoekers die AI-ondersteunde analysetools gebruiken, hebben onlangs aangetoond hoe groot dat aanvalsoppervlak kan zijn. Anthropic's Project Glasswing liet bijvoorbeeld zien dat zijn Claude Mythos-model in staat was om meer dan 10.000 kwetsbaarheden met hoge of kritieke ernst te identificeren in grote software-infrastructuur. Wanneer er zoveel potentiële ingangspunten zijn, wordt het veel gemakkelijker te begrijpen waarom ransomware-groepen steeds nieuwe organisaties vinden om aan te vallen, en waarom zoveel van die inbraken nooit publiekelijk naar buiten komen.

Het rapport van BlackFog versterkt een patroon waar privacy- en beveiligingsonderzoekers al jaren voor waarschuwen: het openbare beeld van ransomware-activiteit is waarschijnlijk slechts een gedeeltelijk beeld. Elke zichtbare aanval waarover in het nieuws wordt bericht, heeft waarschijnlijk tegenhangers die privé zijn opgelost, hetzij via herstel van back-ups, onderhandelde schikkingen of incident response-teams die buiten het publieke zicht opereren.

Wat dit voor jou betekent

Voor alledaagse consumenten is de stijging van niet-openbaar gemaakte ransomware-aanvallen een herinnering dat meldingen van datalekken geen compleet waarschuwingssysteem vormen. Het kan zijn dat je nooit een officiële kennisgeving ontvangt dat jouw gegevens bij een incident betrokken waren, ook al was dat wel zo. Dat betekent niet dat jouw informatie automatisch veilig is; het betekent dat de gebruikelijke signalen waarop mensen vertrouwen, zoals e-mails over datalekmeldingen of nieuwsberichten, minder betrouwbare indicatoren van het werkelijke risico worden.

Voor bedrijven en IT-teams is het rapport een sterk argument om de kloof tussen bekende kwetsbaarheden en patch-tijdlijnen te dichten, aangezien vertraagd patchen vaak het startpunt is voor het soort stille inbraken dat nooit de krantenkoppen haalt. Het is ook een reden om specifiek te investeren in monitoring op data-exfiltratie, niet alleen op ransomware-versleuteling, aangezien aanvallers steeds vaker gegevens stelen, zelfs als ze systemen niet vergrendelen.

Voorblijven op ransomware waar je misschien nooit van hoort

De Q2-bevindingen van BlackFog maken duidelijk dat statistieken over ransomware-meldingen de ware omvang van het probleem waarschijnlijk onderschatten, gezien het aantal aanvallen dat niet openbaar wordt gemaakt. In plaats van te wachten op een kop in de krant of een meldingsbrief, is het de moeite waard om routinematige privacy-hygiëne te behandelen als een doorlopende gewoonte in plaats van een reactie op nieuwsgebeurtenissen.

Enkele praktische stappen die nu de moeite waard zijn om te zetten: gebruik unieke, sterke wachtwoorden met een wachtwoordmanager zodat een inbreuk bij het ene bedrijf niet je andere accounts in gevaar brengt; schakel multifactorauthenticatie in waar deze wordt aangeboden; controleer financiële en kredietrekeningen regelmatig op onbekende activiteit; en overweeg je krediet te bevriezen als je vermoedt dat jouw gegevens mogelijk zijn blootgesteld bij een incident, openbaar gemaakt of niet. Voor organisaties kan het prioriteren van patchbeheer voor actief geëxploiteerde kwetsbaarheden en het investeren in tools die data-exfiltratie detecteren, niet alleen versleuteling, helpen de kloof te dichten waar niet-openbaar gemaakte ransomware-aanvallen momenteel van profiteren.