Verizon 2026 DBIR: Softwarefouten verdringen wachtwoorden als belangrijkste toegangspoort voor datalekken
Bijna twintig jaar lang hadden gestolen of zwakke wachtwoorden de twijfelachtige titel van de meest gebruikelijke manier waarop aanvallers systemen binnendrongen. Aan dat tijdperk is officieel een einde gekomen. Uit het Verizon 2026 Data Breach Investigations Report (DBIR) blijkt dat misbruik van kwetsbaarheden nu goed is voor 31% van de datalekken, waarmee het voor het eerst in de geschiedenis van het rapport gestolen inloggegevens voorbijstreeft. Ransomware komt inmiddels voor in 48% van alle datalekincidenten. Deze bevindingen hebben reële implicaties voor iedereen die vertrouwt op één enkel beveiligingshulpmiddel, waaronder een VPN, om gegevens veilig te houden.
Wat het DBIR 2026 daadwerkelijk heeft vastgesteld
Het meest opvallende cijfer is confronterend: 31% van de datalekken begint nu met aanvallers die misbruik maken van een softwarekwetsbaarheid, een stijging ten opzichte van ongeveer 20% in het rapport van vorig jaar. Dat is een aanzienlijke sprong op jaarbasis. Misbruik van inloggegevens, dat jarenlang de eerste plaats innam, is naar de tweede plaats verdrongen.
De bevinding over ransomware is eveneens significant. Bijna de helft van alle datalekincidenten omvat nu ransomware, wat erop wijst dat aanvallers niet alleen binnendringen via softwarefouten; ze gebruiken die toegangspunten steeds vaker om schadelijke, op winst gerichte ladingen te plaatsen. De combinatie van ongepatchte software en ransomware creëert een bijzonder gevaarlijke lus: een gemiste patch wordt een open deur, en die open deur leidt tot versleutelde bestanden en losgeldeisen.
Het rapport vermeldt ook dat AI de aanvalskant van deze vergelijking begint te versnellen, doordat het tegenstanders helpt misbruikbare fouten sneller te identificeren dan veel organisaties kunnen reageren.
Waarom patchen achterblijft en wie daarvoor de prijs betaalt
Een van de meer ontnuchterende details die de ronde doen naast het DBIR 2026 is dat slechts een fractie van de kritieke kwetsbaarheden daadwerkelijk tijdig wordt gepatcht. Organisaties stellen updates stelselmatig uit omdat patchen downtime, testen en coördinatie tussen teams vereist. Aanvallers hebben geleerd precies dit gat te misbruiken.
Dit is niet louter een probleem voor grote ondernemingen. Kleine en middelgrote bedrijven draaien vaak op krappe IT-afdelingen, waardoor één ongepatchte server of verouderde applicatie weken of maandenlang blootgesteld kan blijven. De gegevens uit het DBIR 2026 suggereren dat dit blootstellingsvenster nu agressiever dan ooit tevoren wordt ingezet als wapen.
De verschuiving is ook van belang voor hoe we nadenken over identiteit en toegang. Mobiele phishing is in dezelfde rapportcyclus naar voren gekomen als een andere groeiende vector voor datalekken, en wanneer phishing succesvol inloggegevens buitmaakt, worden die inloggegevens steeds vaker gecombineerd met misbruik van ongepatchte systemen om lateraal door een netwerk te bewegen. De twee bedreigingen versterken elkaar.
Waarom VPN's alleen niet voldoende zijn
Een VPN versleutelt je internetverkeer en maskeert je IP-adres, wat oprecht nuttig is voor het beschermen van gegevens tijdens transport, met name op onbetrouwbare netwerken. Maar een VPN doet niets om een kwetsbare applicatie te patchen. Als een aanvaller een ongepatchte fout in software op een server identificeert, kan hij die misbruiken ongeacht of die server zich achter een VPN-verbinding bevindt.
Dit is de kernles die verscholen ligt in de cijfers van het DBIR 2026: beveiligingshulpmiddelen werken in lagen, en geen enkele laag dekt elke bedreiging. Versleutelde verbindingen beschermen gegevens die tussen punten worden verplaatst. Sterke, unieke wachtwoorden (ondersteund door een wachtwoordmanager) verminderen de blootstelling van inloggegevens. Multi-factorauthenticatie verhoogt de kosten van op inloggegevens gebaseerde aanvallen. En tijdig patchen sluit de deuren waarvan het misbruik van kwetsbaarheden afhankelijk is.
Ransomware maakt geen onderscheid tussen organisaties met een VPN en organisaties zonder. Het volgt de weg van de minste weerstand die een ongepatcht systeem of gestolen inloggegevens bieden.
Wat dit voor jou betekent
Het DBIR 2026 is een nuttige realiteitscheck voor zowel individuen als organisaties. Dit zijn de praktische stappen die de moeite waard zijn in reactie op wat de gegevens laten zien:
- Geef prioriteit aan patchen. Schakel automatische updates in waar mogelijk voor besturingssystemen, browsers, plug-ins en applicaties. Stel als organisatie een vastgesteld patchvenster in en houd je daaraan.
- Controleer je software-inventaris. Je kunt niet patchen wat je niet weet dat je draait. Een eenvoudige inventarisatie van applicaties en hun huidige versies is een startpunt.
- Bouw je verdediging op in lagen. Gebruik een VPN voor versleutelde verbindingen, een wachtwoordmanager voor sterke unieke inloggegevens en multi-factorauthenticatie op elk account dat dit ondersteunt.
- Neem ransomware serieus op back-upniveau. Offline of onveranderlijke back-ups zijn een van de meest effectieve tegenmaatregelen tegen ransomware; ze voorkomen geen aanval, maar beperken de druk die een aanvaller heeft.
- Ga er niet van uit dat perimeterhulpmiddelen interne kwetsbaarheden dekken. Firewalls en VPN's bewaken de perimeter. Kwetsbaarheden binnen je netwerk hebben nog steeds directe aandacht nodig.
Het DBIR 2026 beschrijft geen toekomstige dreiging; het beschrijft wat al op grote schaal plaatsvindt. De organisaties en individuen die beveiliging behandelen als een verzameling aanvullende gewoonten in plaats van de aanschaf van één enkel product, zijn het best gepositioneerd om te voorkomen dat ze volgend jaar onderdeel worden van de statistieken.
