Kordia 2026-rapport: 17% van de NZ-cyberincidenten eindigt in gegevensdiefstal
Een nieuw gepubliceerd brancherapport geeft een exact getal aan een probleem waarvan de meeste organisaties weten dat het bestaat, maar moeite hebben het te meten: cyberincidenten waarbij persoonsgegevens worden gestolen, vormen nu een aanzienlijk deel van alle beveiligingsgebeurtenissen. Volgens het 2026 Kordia New Zealand Business Cyber Security Report eindigt 17% van de cyberincidenten — ruwweg één op de zes — in ongeautoriseerde toegang tot of diefstal van persoonlijke informatie. Naast dit cijfer wijst het rapport op onrechtmatig gebruik van AI door medewerkers als een van de meest urgente opkomende bedreigingen waarmee organisaties vandaag de dag worden geconfronteerd.
Samen schetsen deze bevindingen een beeld van een dreigingsomgeving die sneller verandert dan veel conventionele verdedigingsmechanismen aankunnen.
Wat het Kordia 2026-rapport werkelijk heeft gevonden
Het Kordia-rapport bevraagt Nieuw-Zeelandse bedrijven in verschillende sectoren en van uiteenlopende groottes, waardoor het een van de meer gefundeerde regionale momentopnamen is van hoe cyberincidenten in de praktijk daadwerkelijk verlopen. Het hoofdcijfer — 17% van de incidenten die eindigen in blootstelling van persoonsgegevens — is opmerkelijk omdat het een specifieke uitkomst vastlegt in plaats van alleen aanvalsvolume of -type.
Veel cyberbeveiligingsrapporten richten zich op hoe aanvallen beginnen: phishing-e-mails, gecompromitteerde inloggegevens, niet-gepatchte software. Dit rapport vestigt de aandacht op waar aanvallen eindigen, en voor een aanzienlijk deel is dat eindpunt de persoonlijke informatie van iemand die de controle van de organisatie verlaat. Dat onderscheid is belangrijk voor het begrijpen van risico's in termen waar toezichthouders, klanten en besturen daadwerkelijk om geven.
Het rapport benadrukt ook onrechtmatig AI-gebruik door medewerkers als een opkomende uitdaging. Dit verwijst naar medewerkers die gevoelige gegevens invoeren in externe AI-tools, niet-goedgekeurde AI-platforms gebruiken, of vertrouwelijke informatie delen terwijl ze proberen hun werk te automatiseren. In de meeste gevallen is er geen sprake van kwade opzet. Het is gemak dat voorzichtigheid overstijgt.
Waarom één op de zes incidenten eindigt in een datalek
Het cijfer van 17% weerspiegelt een aantal structurele realiteiten over hoe moderne organisaties omgaan met gegevens. Persoonlijke informatie wordt doorgaans opgeslagen over meerdere systemen, breed gedeeld binnen organisaties en regelmatig geraadpleegd door medewerkers op allerlei niveaus. Die verspreiding betekent dat elke succesvolle inbraak een redelijke kans heeft om persoonlijke gegevens te raken voordat die worden gedetecteerd en ingeperkt.
Het weerspiegelt ook de hoge waarde van persoonlijke informatie als doelwit. Aanvallers die toegang krijgen tot een netwerk zijn vaak specifiek op zoek naar namen, contactgegevens, financiële gegevens en identiteitsinformatie. Deze hebben directe doorverkoopwaarde en kunnen worden gebruikt bij vervolgfraude en social engineering-aanvallen.
De kloof tussen het plaatsvinden van een incident en de bevestiging dat persoonlijke gegevens zijn gecompromitteerd, speelt ook een rol. Vertragingen in detectie geven aanvallers meer tijd om de meest waardevolle records te lokaliseren en te exfiltreren. Organisaties die geen robuuste logging, segmentatie of monitoring hebben, ontdekken een datalek vaker pas nadat de gegevens al zijn verdwenen.
Dit patroon is niet uniek voor Nieuw-Zeeland. Het sluit aan bij wat onderzoekers wereldwijd hebben gedocumenteerd: gereguleerde entiteiten en goed bedeelde organisaties gaan nog steeds routinematig verkeerd om met persoonsgegevens, zoals verkend in de EU-leeftijdsverificatie-app die binnen minuten na de lancering werd gehackt, waarbij ontwerpveronderstellingen over beveiliging vrijwel onmiddellijk fataal optimistisch bleken.
De AI-insiderdreiging die VPN's alleen niet kunnen oplossen
De bevinding over AI-gebruik verdient bijzondere aandacht, omdat het een categorie risico vertegenwoordigt waarvoor de meeste bestaande beveiligingstools niet zijn ontworpen. Wanneer een medewerker klantgegevens plakt in een openbare AI-assistent of een niet-goedgekeurd productiviteitshulpmiddel gebruikt om HR-gegevens te verwerken, triggert geen enkele firewall, activeert geen enkel VPN-signaal, en slaat geen enkel inbraakdetectiesysteem alarm. De gegevens verlaten de organisatie via een volkomen legitiem kanaal.
Dit is het kernprobleem van door insiders veroorzaakte blootstelling: het ziet er vaak identiek uit als gewoon werk. Een VPN beveiligt de verbinding tussen een apparaat en een bedrijfsnetwerk. Het regelt niet wat een medewerker doet met gegevens zodra die er rechtmatige toegang toe heeft. Encryptie beschermt gegevens tijdens overdracht tussen vertrouwde eindpunten; het beschermt geen gegevens die een geautoriseerde gebruiker ervoor kiest naar een ongeautoriseerde bestemming te sturen.
Organisaties die zwaar hebben geïnvesteerd in perimeterbeveiliging — inclusief VPN's, endpointbeveiliging en firewalls — kunnen nog steeds kwetsbaar zijn als ze de menselijke en beleidslaag niet hebben aangepakt. De Kordia-bevindingen suggereren dat deze kloof groter wordt naarmate AI-tools goedkoper, capabeler en meer ingebed raken in dagelijkse workflows.
De uitdaging wordt vergroot door hoe snel het AI-toollandschap verandert. Een beleid dat zes maanden geleden is opgesteld, dekt mogelijk niet de platforms die medewerkers vandaag gebruiken.
Een privacyverdediging opbouwen die verder gaat dan VPN's
Het aanpakken van zowel het gegevensdiefstalaandeel als de AI-insiderdreiging vereist een gelaagde aanpak die technische controles combineert met organisatiebeleid en gebruikerseducatie.
Aan de technische kant kunnen DLP-tools (Data Loss Prevention) worden geconfigureerd om te detecteren wanneer gevoelige categorieën informatie worden verzonden naar externe platforms, inclusief AI-diensten. Netwerkmonitoring die uitgaande gegevensoverdrachten registreert, kan helpen bij het identificeren van ongebruikelijke patronen. Toegangscontroles die beperken welke medewerkers toegang hebben tot welke gegevens, verkleinen de impact van elk afzonderlijk incident.
Aan de beleidskant hebben organisaties duidelijke, actuele richtlijnen nodig over goedgekeurde AI-tools, welke gegevenscategorieën extern mogen worden verwerkt, en wat de gevolgen zijn van beleidsschendingen. Onduidelijkheid is een aansprakelijkheid. Medewerkers die niet zeker weten of een tool is goedgekeurd, zullen hem vaak toch gebruiken, zeker als het hun werk gemakkelijker maakt.
Gebruikerseducatie blijft cruciaal. De meeste medewerkers die AI-gerelateerde datalekincidenten veroorzaken, handelen niet met kwade opzet. Ze proberen efficiënt te werken. Training die specifiek uitlegt waarom bepaalde gegevens niet in externe AI-tools mogen — in plaats van alleen dat het niet mag — levert doorgaans betere naleving op dan generieke beveiligingsherinneringen.
Voor individuen is het rapport een nuttige herinnering om te controleren welke persoonsgegevens organisaties over hen bewaren en hoe deze worden beschermd. Wetten zoals de California Consumer Privacy Act geven sommige consumenten formele rechten over hun gegevens, hoewel de handhaving van de CCPA in de praktijk aanzienlijke tekortkomingen kent, en het uitoefenen van die rechten actieve inspanning vereist.
Wat dit voor u betekent
Het Kordia 2026-rapport is een op Nieuw-Zeeland gericht onderzoek, maar de bevindingen weerspiegelen patronen die herkenbaar zijn in verschillende sectoren en geografische gebieden. Één op de zes incidenten die resulteert in diefstal van persoonsgegevens is een significant percentage, en de opkomst van onrechtmatig AI-gebruik als een insiderdreiging voegt een nieuwe dimensie toe waaraan veel beveiligingsprogramma's nog moeten wennen.
Voor individuen is dit een aanleiding om na te denken over welke persoonsgegevens u deelt met bedrijven, hoeveel daarvan blootgesteld kan worden bij een datalek, en of u beschikbare rechten uitoefent om die blootstelling te minimaliseren. Voor organisaties is het rapport een argument om beveiligingsgesprekken te verschuiven van perimetertools naar uitgebreid gegevensbeheer.
Technische verdedigingsmiddelen zijn noodzakelijk maar niet voldoende. Het cijfer van 17% suggereert dat zelfs nadat incidenten hebben plaatsgevonden, het inperken van de impact op persoonsgegevens snelheid, zichtbaarheid en duidelijk beleid vereist dat de meeste organisaties nog steeds proberen te ontwikkelen. Uw eigen gegevensvoetafdruk herzien, begrijpen welke rechten u heeft onder toepasselijke privacywetten, en op de hoogte blijven van hoe datalekken daadwerkelijk plaatsvinden, zijn praktische eerste stappen die iedereen vandaag kan zetten.
