Een nieuw threat intelligence-rapport van Cisco Talos toont aan dat ransomware-activiteit in Japan in de eerste helft van 2026 met 4,7% is gestegen, waarbij het midden- en kleinbedrijf (mkb) het grootste deel van de schade draagt. De bevindingen voegen zich bij een groeiend aantal bewijzen dat ransomware-aanvallen gericht op het mkb geen neveneffect zijn van het bredere dreigingslandschap. Ze zijn het hoofdevenement, gedreven door aanvallers die hebben ontdekt dat kleinere organisaties vaak waardevolle data bezitten zonder de beveiligingsbudgetten om deze te verdedigen.

Wat het Cisco Talos-rapport aantrof over de ransomware-golf in Japan in H1 2026

Volgens Cisco Talos steeg het aantal ransomware-incidenten in heel Japan met bijna 5% in de eerste zes maanden van 2026 vergeleken met de voorgaande periode. Het rapport identificeert een afpersingssyndicaat dat zichzelf "The Gentlemen" noemt als een belangrijke drijvende kracht achter deze toename, waarbij de groep ongeveer 80% van zijn targeting-inspanningen richt op het mkb in plaats van op grote ondernemingen.

Die concentratie is opmerkelijk. Ransomware-operators jaagden historisch gezien op targets die de krantenkoppen halen, zoals ziekenhuizen, overheidsinstanties en Fortune 500-bedrijven. De gegevens van Cisco Talos suggereren een strategische verschuiving naar bedrijven die minder snel beschikken over toegewijde security operations centers, incident response-retainers of 24/7-monitoring, maar nog steeds omzet genereren die het waard is om af te persen.

Waarom 'The Gentlemen' zich richt op het midden- en kleinbedrijf

De logica achter het targeten van het mkb is vanuit het perspectief van een aanvaller eenvoudig. Kleinere bedrijven werken vaak met een beperkt IT-team, vertrouwen op een lappendeken van legacy-software en missen de gelaagde beveiligingsarchitectuur die grotere ondernemingen zich kunnen veroorloven. Die combinatie creëert een lagere drempel voor aanvallers, terwijl er nog steeds betekenisvolle uitbetalingen mogelijk zijn, vooral wanneer een bedrijf niet kan overleven bij langdurige downtime en zich onder druk gezet voelt om snel te betalen.

De bevindingen van Cisco Talos over "The Gentlemen" versterken een patroon dat breder zichtbaar is in ransomware-ecosystemen: aanvallers diversifiëren, industrialiseren hun activiteiten en gebruiken steeds stealthier tools om een foothold in gecompromitteerde netwerken te behouden. Die stealth-first-benadering weerspiegelt ander Talos-onderzoek, waaronder de analyse van Chaos ransomware's msaRAT die C2-verkeer in je browser verbergt, waaruit bleek hoe moderne ransomware-groepen steeds vaker kwaadaardig command-and-control-verkeer mengen met legitiem uitziende webactiviteit om detectie te ontwijken.

Veelvoorkomende toegangspunten: remote access, blootgestelde VPN's en ongepatchte netwerkapparatuur

Hoewel het Cisco Talos-rapport zich richt op het totale aanvalsvolume in Japan, wijst het bredere patroon in ransomware-campagnes op een consistente set toegangsvectoren: blootgestelde remote access-diensten, verkeerd geconfigureerde VPN-gateways en ongepatchte netwerkinfrastructuur. Het mkb is op alle drie de fronten onevenredig blootgesteld, omdat zij vaak snel remote access-tools implementeren om hybride werken te ondersteunen zonder daarna configuraties, patchschema's of toegangscontroles opnieuw te bekijken.

Dit is precies waarom kwetsbaarheden op infrastructuurniveau zo belangrijk zijn voor kleinere organisaties. Wanneer kritieke netwerkbeheersoftware een ernstige fout bevat, zoals degene die wordt beschreven in Cisco's eigen advies over de Cisco FMC-fout CVE-2026-20079 misbruikt door Sandworm en Qilin, krijgen aanvallers een kant-en-klare weg naar netwerken die er anders oppervlakkig goed verdedigd uit kunnen zien. Ransomware-groepen scannen routinematig naar dit soort ongepatchte systemen, en het mkb dat updates uitstelt of geen asset-inventaris heeft, is het makkelijkst te vinden.

Praktische verdedigingen die het mkb nu kan inzetten

Het goede nieuws is dat het mkb geen enterprise-niveau budgetten nodig heeft om het ransomware-risico betekenisvol te verkleinen. Een paar concrete stappen kunnen veel van de hiaten dichten waarop aanvallers vertrouwen:

  • Verhard VPN- en remote access-configuraties door multi-factor authenticatie af te dwingen, ongebruikte accounts uit te schakelen en toegang te beperken tot alleen wat medewerkers nodig hebben.
  • Segmenteer netwerken zodat één gecompromitteerd apparaat of account geen directe weg kan bieden naar kritieke systemen of back-ups.
  • Onderhoud offline of immutable back-ups en test herstel regelmatig, want versleutelde bestanden zijn alleen een crisis als er geen schone kopie is om te herstellen.
  • Patch netwerkapparatuur en remote access-software snel, en behandel leveranciersadviezen voor kritieke infrastructuur zoals Cisco FMC als urgent, niet als optioneel.
  • Stel een basisplan voor incident response op voordat een aanval plaatsvindt, inclusief wie te bellen, hoe getroffen systemen te isoleren en hoe te communiceren met medewerkers en klanten.

Begrijpen hoe aanvallers hun activiteit verbergen is ook onderdeel van de verdediging. Het onderzoek van Talos naar Chaos ransomware's msaRAT die zich verbergt in Chrome en Edge illustreert waarom traditionele antivirus alleen niet langer voldoende is; het monitoren van uitgaand netwerkgedrag en browseractiviteit is net zo belangrijk geworden als endpoint-scans.

Wat dit voor jou betekent

Als je een mkb-bedrijf runt of ondersteunt, is dit rapport een herinnering dat omvang niet gelijk staat aan veiligheid. Ransomware-aanvallen gericht op het mkb nemen juist toe omdat aanvallers weten dat kleinere organisaties vaak de basis overslaan: consistent patchen, gelaagde netwerkverdediging en geoefende incident response. Je hoeft niet te wedijveren met de beveiligingsuitgaven van een grote onderneming, maar je moet VPN- en remote access-hygiëne, back-updiscipline en tijdig patchen behandelen als niet-onderhandelbare bedrijfsfuncties in plaats van IT-bijzaakjes.

Belangrijkste conclusies

De stijging van 4,7% in Japanse ransomware-aanvallen die door Cisco Talos is gedocumenteerd, en de buitenproportionele focus op het mkb door groepen zoals "The Gentlemen", weerspiegelen een wereldwijde trend in plaats van een geïsoleerd regionaal probleem. Kleine bedrijven overal zouden moeten aannemen dat zij levensvatbare targets zijn, niet over het hoofd geziene. Begin met het auditen van remote access-punten en VPN-configuraties, verifieer dat back-ups getest en geïsoleerd zijn van het hoofdnetwerk, en blijf op de hoogte van leveranciersadviezen voor alle netwerkinfrastructuur waarop je vertrouwt. Ransomware-groepen rekenen erop dat het mkb onderverdedigd blijft. Het dichten van zelfs maar een paar van deze hiaten kan de kansen betekenisvol in jouw voordeel kantelen.