Aantal ransomware-slachtoffers blijft stijgen en het tempo versnelt

Ransomware vertraagt niet. Volgens nieuwe cijfers die The National CIO Review heeft gerapporteerd, werden tussen april 2025 en maart 2026 7.551 openbaar gemaakte ransomware-slachtoffers geregistreerd, een stijging van 24,9% ten opzichte van een jaar eerder. Dat alleen al zou opmerkelijk zijn, maar het meer zeggende detail is wáár de groei plaatsvond: de toename was niet gelijkmatig over het jaar verspreid. Ze concentreerde zich in de tweede helft, toen het maandelijkse gemiddelde aantal slachtoffers bijna verdubbelde van 484 naar 775.

Dit soort versnelling zegt meer dan het jaartotaal. Een gestage stijging wijst op een hardnekkig probleem waar organisaties zich geleidelijk aan aanpassen. Een scherpe piek halverwege het jaar suggereert dat er iets is veranderd, of dat nu meer ransomware-groepen actief zijn geworden, bestaande groepen hun operaties hebben opgeschaald, of slachtoffers simpelweg sneller openbaar worden gemaakt naarmate afpersingstactieken evolueren.

Waarom de piek in de tweede helft het echte verhaal is

Moderne ransomware-operaties leunen steeds vaker op 'double extortion', waarbij aanvallers niet alleen de systemen van een slachtoffer versleutelen, maar ook gegevens stelen en dreigen deze openbaar te lekken als er geen losgeld wordt betaald. Die dreiging met blootstelling is vaak juist de reden dat een organisatie überhaupt op een openbare slachtofferlijst belandt, aangezien ransomware-bendes regelmatig leksites onderhouden speciaal om doelwitten onder druk te zetten om te betalen.

Deze dynamiek heeft zich herhaaldelijk in allerlei sectoren voorgedaan. Bouw- en ingenieursbedrijven, overheidsinstanties, luchtvaartmaatschappijen en retailers zijn allemaal al genoemd op ransomware-leksites nadat aanvallers beweerden gevoelige gegevens te hebben buitgemaakt. Zo volgde de aanval die de Play-ransomwaregroep claimde op Kreysler & Associates precies dit draaiboek: een lek-dreiging als pressiemiddel, waarbij het slachtoffer openbaar werd genoemd voordat er een losgeldeis was opgelost. Op vergelijkbare wijze werd één enkele ransomware-operatie in verband gebracht met inbreuken bij het ANC van Zuid-Afrika, SAA en Pick n Pay, wat laat zien hoe één groep in korte tijd een breed scala aan spraakmakende slachtoffers in niet-gerelateerde sectoren kan treffen.

Het groeiende aantal actieve ransomware-groepen waarnaar in de rapportage van The National CIO Review wordt verwezen, past in dit patroon. Meer groepen die tegelijkertijd actief zijn, betekent meer leksites, meer opgeëiste slachtoffers en meer pressiecampagnes die parallel lopen, wat mede verklaart waarom het maandelijkse aantal slachtoffers bijna verdubbelde in plaats van geleidelijk te stijgen.

De privacygevolgen voor gewone gebruikers

Hoewel krantenkoppen over ransomware zich meestal richten op de organisaties die worden getroffen, sijpelen de privacygevolgen door naar de mensen van wie die organisaties gegevens bewaren. Wanneer een ransomware-groep gegevens steelt voordat een netwerk wordt versleuteld, bevatten die gestolen gegevens vaak klantgegevens, personeelsinformatie, financiële details of gezondheidsgegevens, afhankelijk van de sector van het slachtoffer. Zelfs als een bedrijf weigert te betalen en via back-ups herstelt, kunnen de gestolen gegevens alsnog worden gepubliceerd of verkocht als de aanvallers hun lek-dreigingen uitvoeren.

Daarom zijn stijgende aantallen slachtoffers niet alleen een IT-probleem voor bedrijven. Elke nieuwe naam die op een leksite wordt toegevoegd, vertegenwoordigt mogelijk duizenden mensen van wie de persoonlijke gegevens nu risico lopen op blootstelling, identiteitsdiefstal of gerichte phishing. De schaal die in dit rapport wordt beschreven, waarbij het aantal slachtoffers steeg van gemiddeld 484 naar 775 per maand, betekent een aanzienlijk grotere groep mensen die zich mogelijk zorgen moet maken dat hun gegevens buiten hun controle circuleren.

Wat dit voor jou betekent

Je hoeft geen bedrijfsnetwerk te beheren om door deze trend te worden geraakt. Als je klant, werknemer of patiënt bent van een organisatie, kunnen jouw gegevens worden meegesleurd in een inbreuk die jij niet hebt veroorzaakt. Een paar praktische stappen kunnen je blootstelling verkleinen:

  • Ga ervan uit dat elk account dat aan een organisatie is gekoppeld waarmee je te maken hebt uiteindelijk onderdeel kan zijn van een datalek, en gebruik unieke wachtwoorden voor elke dienst zodat één lek niet overslaat naar andere.
  • Schakel multifactorauthenticatie in waar die wordt aangeboden, want gestolen inloggegevens zijn veel minder bruikbaar voor aanvallers als er een tweede verificatiestap nodig is.
  • Let op notificatie-e-mails van bedrijven waar je klant bent en neem datalekmeldingen serieus in plaats van ze als routine af te doen.
  • Overweeg een kredietbevriezing of fraudewaarschuwing als je wordt geïnformeerd dat jouw gegevens betrokken waren bij een ransomware-incident, vooral als er financiële of identiteitsgegevens bij zaten.

De conclusie

De stijging van openbaar gemaakte ransomware-slachtoffers, en vooral de scherpe versnelling in de tweede helft van de rapportageperiode, geeft aan dat op afpersing gebaseerde cybercriminaliteit steeds georganiseerder en frequenter wordt in plaats van af te vlakken. Voor organisaties betekent dat hernieuwde druk om verdediging en incidentresponsplannen te versterken. Voor individuen is het een herinnering dat gegevensbescherming niet langer alleen een verantwoordelijkheid van bedrijven is; het is een gedeelde verantwoordelijkheid. Op de hoogte blijven van welke sectoren worden aangevallen en eenvoudige accounthygiëne toepassen blijft een van de effectiefste manieren om persoonlijke schade te beperken wanneer een volgende groep ransomware-slachtoffers het nieuws haalt.