Volgens berichtgeving van Cybersecurity News steeg het aantal claims op ransomware-leaksites in Q3 2026 met 30%. De stijging werd grotendeels veroorzaakt door 43 nieuwe groepen en, zo waarschuwen onderzoekers, mogelijk nep-slachtoffermeldingen. Deze gids over claims op ransomware-leaksites legt uit wat de cijfers wel en niet vertellen, en wat je moet doen als een bedrijf waarop je vertrouwt op een lijst verschijnt.

Het bronartikel bevat weinig details, dus deze post houdt zich aan wat er is gemeld en richt zich op praktische redeneringen die je zelf kunt toepassen.

Wat de 30% stijging in claims op leaksites laat zien

Een leaksite is een website, vaak op het Tor-netwerk, waar ransomware-operators slachtoffers noemen en dreigen gestolen gegevens te publiceren als er geen losgeld wordt betaald. Elke vermelding is een claim van de aanvallers, geen bevestigd incident.

Volgens het rapport steeg het aantal claims in het derde kwartaal van 2026 met 30%. Twee factoren werden benadrukt: 43 nieuwe groepen die op het toneel verschenen, en de mogelijkheid dat sommige slachtoffermeldingen niet echt zijn.

Die combinatie is belangrijk. Een sprong in vermeldingen kan meer echte aanvallen betekenen, maar kan ook weerspiegelen dat meer actoren strijden om aandacht. Nieuwe groepen hebben er belang bij om actief en gevaarlijk te lijken, en een langere slachtofferlijst is een gemakkelijke manier om dat te doen. De 30% moet dus vooral worden gelezen als een maatstaf voor claims, niet als een geverifieerd aantal inbreuken.

Voor context over hoe grote operaties hun slachtofferaantallen opbouwen en publiceren, laat onze berichtgeving over LockBit 3.0 en zijn 2.000 geclaimde slachtoffers in 95 landen zien waarom deze aantallen zoveel aandacht krijgen.

Waarom sommige ransomware-slachtoffervermeldingen nep kunnen zijn

De onderzoekers die in het artikel worden aangehaald, waarschuwen dat sommige vermeldingen verzonnen kunnen zijn. De bron geeft geen details over de methoden, dus we kunnen niet zeggen hoe vaak nep-vermeldingen voorkomen. Maar de prikkels zijn gemakkelijk te begrijpen:

  • Reputatie opbouwen. Een nieuwe groep met weinig echte slachtoffers kan zijn lijst opvullen om geloofwaardig te lijken.
  • Druk op doelwitten. Een bedrijf publiekelijk noemen kan het richting onderhandeling duwen, zelfs als de aanvallers weinig of niets hebben.
  • Hergebruikte of overdreven gegevens. Aanvallers kunnen een nieuwe inbreuk claimen met informatie die al openbaar was of elders is gestolen.

Dit zijn algemene mogelijkheden, geen bevindingen uit het rapport. Het belangrijkste punt is dat een naam op een leaksite een uitgangspunt voor vragen is, geen bewijs van compromittering.

Hoe je beoordeelt of een inbreukclaim geloofwaardig is

Je hebt geen gespecialiseerde tools nodig om een claim verstandig te wegen. Let op signalen die een claim van ongeverifieerd richting geloofwaardig bewegen:

  1. Bevestiging van het bedrijf. Een inbreukmelding, een melding bij een toezichthouder of een e-mail aan klanten is het sterkste signaal.
  2. Onafhankelijke berichtgeving. Zoek naar coverage van gevestigde security-media die het bewijs hebben onderzocht in plaats van de vermelding te herhalen.
  3. Bewijs dat te controleren is. Voorbeeldgegevens die overeenkomen met echte records wegen zwaarder dan alleen een bedrijfsnaam.
  4. De trackrecord van de groep. Een groep met een geschiedenis van accurate claims wordt anders behandeld dan een gloednieuwe. Met 43 nieuwe groepen in het kwartaal hebben veel weinig geschiedenis om op te beoordelen.
  5. Consistentie in de tijd. Echte incidenten leiden meestal tot vervolg: dienstverstoring, verklaringen of gepubliceerde gegevens.

Geen enkel signaal beslecht de vraag. Beschouw het ontbreken van bevestiging als onzekerheid, niet als veiligheid.

Wat te doen als een dienst die je gebruikt op een lijst staat

Of de claim nu echt is of niet, de reactie is grotendeels hetzelfde, en de kosten zijn laag:

  • Wijzig je wachtwoord voor die dienst, en overal waar je het hebt hergebruikt.
  • Schakel tweefactorauthenticatie in met een authenticator-app of beveiligingssleutel waar mogelijk.
  • Let op phishing. Gestolen contactgegevens worden vaak gebruikt voor overtuigende scam-e-mails of -berichten die naar het echte bedrijf verwijzen.
  • Controleer de officiële kanalen van het bedrijf op verklaringen in plaats van te vertrouwen op forumposts of geruchten op sociale media.
  • Gebruik breachmonitoring om een waarschuwing te krijgen als je e-mailadres in blootgestelde gegevens voorkomt.
  • Controleer accountactiviteit en financiële overzichten op alles wat onbekend is.

Wat dit voor jou betekent

De meeste mensen zullen nooit rechtstreeks een leaksite zien, maar de claims komen vaak naar boven via krantenkoppen en sociale posts. Een stijging van 30% in vermeldingen betekent niet dat je persoonlijke risico met 30% is gestegen. Het betekent dat er meer ruis is, en dat sommige daarvan onjuist kan zijn.

De gezonde reactie is noch paniek noch afwijzing. Beschouw een claim als een aanleiding om je eigen accounts beter te beveiligen. Als blijkt dat het nep is, heb je niets verloren en je beveiliging verbeterd. Als blijkt dat het echt is, ben je de gevolgen al voor.

Belangrijkste punten

Het begrijpen van claims op ransomware-leaksites in gewone taal komt neer op één idee: een vermelding is een beschuldiging door criminelen, en die verdient scepsis. Gebruik unieke wachtwoorden, schakel 2FA in en meld je aan voor breachmonitoring, of een claim ooit wordt geverifieerd of niet. Voor meer achtergrond over hoe grote ransomware-operaties werken en waarom hun slachtofferaantallen ertoe doen, lees ons stuk over LockBit 3.0-ransomware.