Op wie richten ransomwarebendes zich nu primair in plaats van op CEO's?

Ze richten zich steeds vaker op IT-managers, doorgaans veertigers, die beheerrechten hebben, het netwerk kennen en praktische invloed hebben op beslissingen over losgeldbetaling.

Waarom zien aanvallers IT-managers als waardevoller dan topbestuurders?

IT-managers bevinden zich op het kruispunt van diepe systeemrechten en zakelijke invloed, beheren vaak backups, inloggegevens en netwerksegmentatie, en worden tijdens een crisis geraadpleegd in plaats van dat ze de uiteindelijke ondertekenaar zijn.

Hoe vinden aanvallers deze IT-managers in het netwerk van een slachtoffer?

Ze bewegen zich methodisch door bedrijfsfuncties zoals HR, financiën en operations voordat ze bij IT uitkomen, en brengen in kaart wie waardevolle data heeft en wie invloed kan uitoefenen op een losgeldbetaling.

Welke andere druktactieken gebruiken ransomwarebendes naast deze doelwitverschuiving?

Bendes experimenteren met psychologische druk, waaronder verzonnen juridisch ogende documenten die samen met losgeldnota's worden gedropt om slachtoffers in het nauw te drijven, zoals opgemerkt in een gerelateerd rapport over valse AI-juridische dreigementen.

Wat onthult de focus op IT-managers over de huidige afpersingsstrategie van ransomware?

Het toont een verschuiving van pure, op encryptie gebaseerde verstoring naar het optimaliseren van afpersing op degene die het snelst onder druk kan worden gezet, waarbij toegang en praktische invloed prioriteit krijgen boven bestuurlijke titels.

Ransomwarebendes richten zich nu op IT-managers, niet op CEO's

Waarom IT-managers nu het voornaamste doelwit van ransomware zijn

Jarenlang ging men er in beveiligingskringen van uit dat ransomwarebendes recht op de top van het organigram afstevenden: de CEO, de CFO, degene die de sleutels in handen had voor de grootste uitbetalingsbeslissing. Nieuwe dreigingsinformatie zet die aanname op zijn kop. In plaats van op executives te jagen, richten ransomwarebendes zich steeds vaker op de IT-manager van in de veertig, de persoon die daadwerkelijk beheerrechten bezit, de netwerklay-out begrijpt en vaak meer praktische invloed heeft op de vraag of er betaald wordt dan degene die de cheques ondertekent.

Dit is belangrijk omdat het iets blootlegt over hoe aanvallers denken. Ze zijn niet per se op zoek naar de hoogste functietitel. Ze zoeken naar de persoon die zich op het kruispunt van toegang en autoriteit bevindt, iemand die technisch genoeg is om diepe systeemrechten te hebben, maar tegelijkertijd zo in het bedrijf verankerd zit dat men bij een crisis bij diegene te rade gaat. In veel kleine en middelgrote organisaties is dat de IT-manager, niet de CEO.

Hoe aanvallers zich door bedrijfsfuncties bewegen om hen te vinden

Het onderzoek wijst op een doelbewuste, methodische aanpak. In plaats van rechtstreeks op één waardevol doelwit af te springen, lijken aanvallers zich een weg te banen door verschillende bedrijfsfuncties binnen een slachtofferorganisatie. Ze verkennen achtereenvolgens HR, financiën, operations en IT, op zoek naar de combinatie van waardevolle data en de mensen die invloed kunnen uitoefenen op een losgeldbetaling.

Deze functie-voor-functie-aanpak vergroot de kans op succes op twee manieren. Ten eerste verbreedt het het net: als de aanvaller via de ene afdeling geen bruikbare toegang krijgt, probeert hij een andere. Ten tweede helpt het hen in kaart te brengen wie er werkelijk toe doet binnen de organisatie als het misgaat. Een IT-manager die backupsystemen, beheerreferenties en netwerksegmentatie beheert, is vaak veel waardevoller om te compromitteren dan een CEO die misschien niet eens weet waar kritieke data zich bevindt.

Voor organisaties die social engineering-tactieken al hebben zien evolueren, past dit in een breder patroon. Bendes experimenteren ook met psychologische druktactieken die veel verder gaan dan technische intrusie, waaronder verzonnen juridisch ogende documenten die samen met de losgeldnota worden gedropt om slachtoffers in het nauw te drijven, een tactiek die wordt behandeld in Ransomwarebendes voegen valse AI-juridische dreigementen toe aan losgeldnota's. De doelwitverschuiving richting IT-managers en het gebruik van gefabriceerde juridische dreigementen wijzen beide op dezelfde onderliggende strategie: aanvallers optimaliseren op degene die het snelst onder druk kan worden gezet, niet alleen op degene met de grootste titel.

Wat deze verschuiving zegt over het moderne afpersingsdraaiboek

Het bredere rapport kadert dit als onderdeel van een ransomware-ecosysteem dat zich steeds meer richt op afpersing in plaats van op zuivere, op encryptie gebaseerde verstoring. Dat onderscheid is van belang. Wanneer het doel verschuift van het vergrendelen van systemen naar het dreigen met openbaarmaking en reputatieschade, verandert ook de calculus voor wie het doelwit moet zijn. Aanvallers hebben de CEO niet nodig om de druk te voelen; ze hebben iemand nodig met voldoende operationele autoriteit om de dreiging intern te escaleren en met voldoende technische toegang om te bevestigen dat de claims van de aanvallers reëel zijn.

Deze evolutie loopt parallel met een bredere trend die al in het ransomwarelandschap is gedocumenteerd: een meer gefragmenteerd, competitiever veld van bendes, die elk hun eigen draaiboek verfijnen om op te vallen en sneller deals te sluiten, zoals beschreven in Ransomware 2026: Meer bendes, meer slachtoffers, geen afremming. Naarmate meer groepen concurreren om slachtoffers en losgeldbetalingen, wordt efficiëntie een concurrentievoordeel, en het viseren van de persoon die het meest waarschijnlijk daadwerkelijk een beslissing neemt, is simpelweg efficiënter dan het viseren van een titel.

Praktische stappen om geprivilegieerde accounts en interne toegang te beschermen

Voor het mkb zonder toegewijde security operations-teams is deze verschuiving een nuttige wake-upcall. De inbox van de CEO beschermen is niet langer voldoende. Organisaties moeten nadenken over wie er over geprivilegieerde toegang beschikt in elke afdeling, niet alleen in de directiesuite.

Enkele praktische stappen die het prioriteren waard zijn:

Breng in kaart wie er daadwerkelijk admin-toegang heeft. IT-managers, systeembeheerders en iedereen met inloggegevens voor backups of netwerkconfiguratie moeten worden behandeld als hoogwaardige doelwitten, met multi-factorauthenticatie en hardware-beveiligingssleutels waar mogelijk.
Segmenteer toegang per functie. Beperken hoeveel een enkel account kan aanraken, vermindert de opbrengst voor aanvallers die één afdeling compromitteren.
Patch agressief en monitor op misbruik. Ongepatchte systemen blijven een veelvoorkomend toegangspunt, en de omvang van recente kwetsbaarheidsmeldingen, waaronder Microsoft patcht recordaantal van 570 bugs, 2 zero-days actief misbruikt, laat zien hoeveel aanvalsoppervlak organisaties op elk moment beheren.
Train mid-level medewerkers, niet alleen executives. Phishing-simulaties en security awareness-training moeten zich veel verder uitstrekken dan het leiderschapsteam.

Wat dit voor u betekent

Als u in IT werkt, in systeembeheer of in een rol met verhoogde toegang, begrijp dan dat u een aantrekkelijker doelwit kunt zijn dan uw CEO. Ransomwarebendes richten zich op IT-managers omdat zij de snelste weg bieden naar zowel data als besluitvormingsinvloed. Dat betekent dat uw inloggegevens, uw e-mailaccount en uw toegangscontroles hetzelfde beschermingsniveau verdienen dat doorgaans aan executives wordt voorbehouden.

Bruikbare inzichten

Behandel IT-managers en systeembeheerders als hoogwaardige doelwitten die sterke MFA en toegangscontroles vereisen.
Herzie en beperk geprivilegieerde toegang over alle afdelingen, niet alleen op directieniveau.
Houd systemen gepatcht en monitor op tekenen van laterale beweging tussen bedrijfsfuncties.
Breid security awareness-training uit naar technisch middenkader, niet alleen naar leidinggevenden.
Blijf op de hoogte van hoe het ransomware-ecosysteem evolueert, aangezien aanvalstactieken blijven verschuiven richting op afpersing gerichte druk in plaats van pure encryptie.