Dragos telde 1.140 ransomware-incidenten die industriële organisaties troffen in Q2 2026, een stijging van 12% ten opzichte van Q1. De bevinding wijst op een verschuiving die het begrijpen waard is: ransomware die zich richt op industriële OT-systemen begint steeds vaker in de enterprise IT-systemen die operationele technologie ondersteunen, in plaats van op de fabrieksvloer of in de controlekamer zelf.

Het bronartikel is kort, en dit bericht houdt zich aan wat er staat: het aantal van 1.140, de kwartaalstijging van 12%, en de observatie dat aanvallers steeds vaker de enterprise-systemen misbruiken die ten grondslag liggen aan OT. Waar we verder gaan dan dat, beschrijven we algemene beveiligingspraktijken en geen nieuwe bevindingen.

Wat Dragos vond in Q2 2026

Volgens Dragos troffen 1.140 ransomware-incidenten industriële organisaties in het tweede kwartaal van 2026. Dat is 12% hoger dan het eerste kwartaal. Het kopcijfer is belangrijk, maar het nuttigere detail is de richting van de inspanningen van aanvallers: enterprise-systemen die OT ondersteunen zijn steeds vaker het toegangspunt.

Voor meer details over de onderliggende cijfers, zie ons begeleidende rapport, Q2 2026 Ransomware trof 1.140 industriële bedrijven via IT.

Hoe ransomware zich verplaatst van kantoor-IT naar OT

Operationele technologie is de hardware en software die fysieke processen aanstuurt, zoals productielijnen, energiedistributie en waterzuivering. IT is de bekende wereld van e-mail, fileservers, bedrijfsapplicaties en clouddiensten. In de meeste industriële organisaties zijn de twee met elkaar verbonden, omdat managers productiegegevens nodig hebben, ingenieurs ontwerpbestanden nodig hebben en leveranciers toegang nodig hebben.

Die verbindingen zijn wat aanvallers gebruiken. In plaats van industriële controllers rechtstreeks aan te vallen, kan een ransomware-groep inbreken in een bedrijfssysteem, gegevens stelen of servers versleutelen, en genoeg verstoring veroorzaken zodat de bedrijfsvoering vertraagt of stopt. Zelfs wanneer de controlesystemen nooit worden aangeraakt, kan een bedrijf delen van de productie stilleggen uit voorzorg of omdat het niet langer kan plannen, verzenden of factureren.

Dit is waarom de scheiding tussen IT en OT misleidend kan zijn. Een fabriek kan goed beschermde controllers hebben en toch offline worden gehaald door een compromittering van de systemen eromheen.

Waarom bedrijfssoftware en blootgestelde systemen de zwakke schakel zijn

De bevinding van Dragos benadrukt dat aanvallers de enterprise-systemen misbruiken die ten grondslag liggen aan OT. Dit zijn doorgaans grote bedrijfsapplicaties die waardevolle gegevens bevatten en vaak vanaf het internet bereikbaar zijn zodat partners en medewerkers op afstand ze kunnen gebruiken.

Een concreet voorbeeld is de Clop-campagne tegen enterprise product lifecycle-software. Onze berichtgeving over Clop-ransomware die PTC Windchill- en FlexPLM-systemen treft beschrijft een campagne voor gegevensdiefstal en afpersing gericht op via het internet blootgestelde instanties van die platforms. Deze systemen slaan productontwerpen en productie-informatie op, wat ze aantrekkelijk maakt voor afpersingsgroepen, zelfs wanneer geen enkel productiesysteem wordt versleuteld.

Blootstelling is ook een kwestie van bekende kwetsbaarheden die niet worden gepatcht. Ons rapport over CISA dat vier kwetsbaarheden toevoegt aan zijn Known Exploited Vulnerabilities-catalogus laat zien hoe snel kwetsbaarheden in veelgebruikte enterprise- en industriële producten van openbaarmaking naar actieve aanval kunnen gaan.

Wat dit voor jou betekent

De meeste lezers runnen geen fabriek of nutsbedrijf, maar velen zijn er afhankelijk van. Wanneer een industriële organisatie wordt getroffen, kunnen de effecten zich uiten in vertraagde leveringen, tekorten, serviceonderbrekingen of blootstelling van persoonsgegevens. Klant- en medewerkersgegevens die in enterprise-systemen worden bewaard, kunnen tijdens deze incidenten ook worden gestolen.

Je kunt het netwerk van een exploitant niet repareren, maar je kunt je eigen blootstelling als klant, medewerker of leverancier wel verkleinen:

  • Als je een datalekmelding ontvangt van een fabrikant of dienstverlener, neem die dan serieus en volg de richtlijnen op.
  • Gebruik unieke wachtwoorden en multi-factorauthenticatie op accounts die aan een industriële of nutsprovider zijn gekoppeld.
  • Wees alert op phishing die verwijst naar een recent incident, aangezien gestolen gegevens vaak worden hergebruikt in vervolgzwendel.

Wat organisaties kunnen doen: segmentatie, back-ups, MFA

Voor degenen die verantwoordelijk zijn voor industriële omgevingen pleit de trend voor het versterken van de verbindingspunten tussen IT en OT. Dit zijn standaard verdedigingsmaatregelen, geen nieuwe bevindingen uit het Dragos-rapport:

  • Segmentatie: Scheid bedrijfsnetwerken van controlenetwerken en beperk wat er tussen beide kan passeren. Als IT wordt gecompromitteerd, helpt segmentatie om het incident weg te houden van de bedrijfsvoering.
  • Back-ups: Houd offline of anderszins geïsoleerde back-ups van kritieke systemen bij en test het herstellen ervan. Back-ups helpen alleen als ze onder druk werken.
  • Multi-factorauthenticatie: Vereis dit voor toegang op afstand en voor beheerdersaccounts, met name op bedrijfsapplicaties die aan het internet zijn blootgesteld.
  • Patching en beoordeling van blootstelling: Identificeer welke enterprise-systemen vanaf het internet bereikbaar zijn en prioriteer fixes voor kwetsbaarheden waarvan bekend is dat ze worden misbruikt.
  • Incidentplanning: Bepaal vooraf hoe je getroffen systemen isoleert en essentiële bedrijfsvoering gaande houdt.

Kernpunten

De telling van Dragos van 1.140 incidenten in Q2 2026 toont aan dat ransomware die zich richt op industriële OT-systemen groeit, en dat de toegangsroute vaak via de enterprise-software eromheen loopt. Neem een paar minuten om je eigen blootstelling te beoordelen: schakel MFA in, controleer of je back-ups actueel en herstelbaar zijn, en installeer openstaande updates. Voor concrete voorbeelden van hoe IT-zwakheden industriële risico's worden, lees onze berichtgeving over de industriële ransomware-gegevens van Q2 2026 en de Clop-campagne tegen enterprise PLM-software.