Ze breken niet in. Ze loggen in. En ze doen het 4x sneller.

Er staat een zin in het meest recente incident response rapport van Palo Alto Networks die de manier waarop elke organisatie over cyberbeveiliging denkt, zou moeten veranderen. Sam Rubin, senior vice president bij Unit 42, verwoordde het simpel: zodra een aanvaller over legitieme inloggegevens beschikt, breekt hij niet meer in. Hij logt in. Wanneer een tegenstander opgaat in normaal verkeer, wordt detectie zelfs voor volwassen beveiligingsteams buitengewoon lastig.

Die uitspraak verandert het hele dreigingslandschap. De aanvaller hoeft geen zero-day te misbruiken. Hij hoeft geen firewall te omzeilen. Hij hoeft geen exotische malware te implementeren. Hij heeft een gestolen inloggegeven nodig. En met dat inloggegeven is hij niet meer te onderscheiden van een legitieme gebruiker — hij beweegt zich door systemen, krijgt toegang tot data en voert exfiltratie uit voordat beveiligingsteams iets doorhebben.

De cijfers achter deze verschuiving zijn schokkend. Palo Alto Networks analyseerde meer dan 750 incident response cases wereldwijd en ontdekte dat dreigingsgroepen nu vier keer sneller opereren dan slechts een jaar geleden. AI versnelt elke fase van de aanvalscyclus: verkenning, phishing en scripting, en operationele uitvoering. Bij de meest efficiënte aanvallen vindt data-exfiltratie al 72 minuten na de eerste toegang plaats. Gestolen identiteiten en tokens komen voor in 90% van de incident response cases.

Dit is geen rapport over opkomende dreigingen aan de horizon. Dit is een rapport over wat nu al gebeurt — vastgelegd in honderden echte incidenten — en het onthult een fundamentele mismatch tussen hoe snel aanvallers opereren en hoe snel de meeste organisaties kunnen detecteren en reageren.

5 Belangrijkste Inzichten

1. Aanvallers bewegen zich 4x sneller dan een jaar geleden — en de meest efficiënte exfiltreren binnen 72 minuten. Uit de analyse van meer dan 750 incident response cases door Palo Alto Networks blijkt dat dreigingsgroepen nu vier keer sneller opereren dan slechts een jaar geleden. AI versnelt elke fase: verkenning, phishing en scripting, en operationele uitvoering. Bij de meest efficiënte aanvallen vindt data-exfiltratie al 72 minuten na de eerste toegang plaats. Dat is geen theoretische norm. Dat is de operationele realiteit waar beveiligingsteams nu tegen moeten verdedigen.
2. Identiteit is het belangrijkste aanvalspad — komt voor in 90% van de incident response cases. Gestolen identiteiten en tokens kwamen voor in 90% van de door Unit 42 geanalyseerde incident response cases. Aanvallers breken niet meer in. Ze loggen in. Zodra een tegenstander over legitieme inloggegevens beschikt, valt hij niet meer op in het normale verkeer, waardoor detectie buitengewoon moeilijk wordt, zelfs voor volwassen beveiligingsoperaties. De perimeter is niet langer het toegangspunt. Het inloggegeven is dat nu.
3. Aanvallers richten zich binnen 15 minuten na CVE-publicatie op kwetsbaarheden. Het tijdsvenster tussen kwetsbaarheidsmelding en actieve exploitatie is ingestort. Aanvallers richten zich nu binnen 15 minuten na publicatie van een CVE op bekende softwarefouten. AI maakt gelijktijdige verkenning en eerste toegangspogingen tegen honderden doelwitten tegelijk mogelijk. Organisaties die vertrouwen op handmatige patchcycli van dagen of weken, werken op een tijdlijn die niet meer bestaat.
4. Vertrouwde integraties zijn het nieuwe aanvalsoppervlak in de toeleveringsketen. Bijna een kwart van de incidenten van het afgelopen jaar betrof aanvallers die misbruik maakten van vertrouwde integraties om aanvallen uit te voeren op SaaS-applicaties. Deze integraties bieden legitieme, bevoorrechte toegang die inherent lastig te verdedigen is, omdat de verbinding zelf geautoriseerd is. Unit 42 van Palo Alto Networks beschrijft dit als een structurele verschuiving in het risico van de toeleveringsketen — het gaat niet langer alleen om kwetsbare code, maar om het misbruik van vertrouwde koppelingen tussen systemen.
5. Het 42-dagen detectiegemiddelde is catastrofaal uit balans met 72-minuten exfiltratie. De gemiddelde verblijftijd in de sector blijft ongeveer 42 dagen. Aanvallers exfiltreren data in 72 minuten. Die mismatch is niet gradueel. Het is categorisch. Tegen de tijd dat traditionele detectie- en responsprocessen een datalek identificeren, hebben aanvallers hun missie meer dan 800 keer voltooid. Real-time monitoring van data-toegang en geautomatiseerde beleidsafdwinging zijn niet langer een ambitie. Ze zijn de minimale verdediging tegen door AI versneld dreigingsgedrag.

Het 72-minuten venster heeft het detectiemodel doorbroken

De gemiddelde verblijftijd in de sector — de periode tussen initiële compromittering en detectie — blijft ongeveer 42 dagen. Aanvallers exfiltreren nu data in 72 minuten. Dat is geen kloof. Het is een ravijn. Tegen de tijd dat traditionele beveiligingsoperaties ontdekken dat er een datalek is geweest, is de aanvaller al weken weg. De data is al geëxfiltreerd. De schade is al aangericht.

De viervoudige versnelling wordt aangedreven door AI over de hele aanvalscyclus. AI-gestuurde verkenning identificeert doelwitten, brengt dataopslagplaatsen in kaart en ontdekt kwetsbaarheden op machinesnelheid. Door AI gegenereerde phishingcampagnes creëren overtuigende social engineering op schaal, met hoge klikpercentages die menselijke campagnes niet kunnen evenaren. AI-ondersteunde scripting automatiseert exploitatie en persistentie. AI-gedreven operationele uitvoering coördineert gelijktijdige aanvallen op meerdere doelwitten.

Het 72-minuten exfiltratievenster betekent dat elk detectiemechanisme dat op menselijke tijdschalen werkt — periodieke logreviews, handmatige alerttriage, wekelijkse threat hunts — structureel niet in staat is de aanval te onderscheppen voordat deze is afgerond. Tegen de tijd dat een analist het alert bekijkt, het koppelt aan andere signalen, de reikwijdte onderzoekt en opschaalt naar incident response, is de exfiltratie al uren of dagen geleden gebeurd. Het detectiemodel dat is gebouwd voor een wereld waarin aanvallers weken of maanden aanwezig waren, is catastrofaal uit balans met aanvallers die hun missie in iets meer dan een uur voltooien.

Real-time monitoring van data-toegang is niet langer een ambitie. Het is een vereiste. Organisaties moeten in staat zijn om afwijkende patronen in data-toegang binnen enkele seconden te detecteren, niet uren. Ze hebben geautomatiseerde beleidsafdwinging nodig die verdachte activiteiten blokkeert zonder te wachten op menselijke analyse. Ze hebben gedragsbaselines nodig voor elke gebruiker en elke AI-agent, zodat afwijkingen direct worden herkend. Het 72-minuten venster laat geen ruimte voor handmatige processen.

Het identiteitsprobleem is een data-exfiltratieprobleem

Negentig procent van de incident response cases betrof gestolen identiteiten en tokens. Dat cijfer verdient een moment van bezinning. Het betekent dat de primaire methode waarmee aanvallers toegang krijgen tot organisatiedata geen technische exploitatie is. Het is het stelen van inloggegevens. Phishing, token hijacking, credential stuffing, session replay — de mechanismen verschillen, maar het resultaat is hetzelfde. De aanvaller verkrijgt een legitieme identiteit en gebruikt deze om data te benaderen alsof hij de geautoriseerde gebruiker is.

Traditionele perimeterverdediging is ontworpen om interne en externe gebruikers te onderscheiden. Firewalls, inbraakdetectiesystemen, netwerksegmentatie — al deze gaan ervan uit dat de dreiging van buiten de vertrouwensgrens komt en geïdentificeerd moet worden bij het oversteken daarvan. Wanneer de aanvaller inlogt met geldige inloggegevens, valt die aanname in duigen. Hij bevindt zich vanaf het eerste moment binnen de vertrouwensgrens. Hij gebruikt een geautoriseerde identiteit. Zijn verkeer oogt legitiem, want vanuit het systeem gezien ís het legitiem.

Dit is waarom identiteitsgerichte aanvallen zo effectief zijn en waarom het 90%-cijfer zo belangrijk is. De acties van de aanvaller zijn niet te onderscheiden van normaal gebruikersgedrag, tenzij de organisatie controles heeft die verder kijken dan alleen identiteit. Waar komt deze toegang vandaan? Op welk tijdstip? Welke dataclassificatie wordt benaderd? Hoeveel data wordt opgevraagd? Komt deze hoeveelheid, snelheid en dit patroon overeen met het historische gedrag van het account? Dit zijn vragen op dataniveau, niet op infrastructuurniveau — en de meeste organisaties stellen ze niet.

De implicatie is direct: zelfs als identity management sterk is, zelfs als multi-factor authentication is ingezet, zelfs als inloggegevens regelmatig worden vervangen, kan de aanvaller die een geldig sessietoken bemachtigt data exfiltreren. Identiteitsverificatie bij authenticatie is noodzakelijk maar onvoldoende. Organisaties hebben continue verificatie nodig bij data-toegang — elke aanvraag, elke query, elke download moet worden getoetst aan het gebruikersprofiel, de gevoeligheidsclassificatie van de data en de actuele risicocontxt.

15 minuten van melding tot exploitatie

Het rapport laat zien dat aanvallers nu bekende kwetsbaarheden binnen 15 minuten na publicatie van een CVE aanvallen. Dat is geen typefout. Vijftien minuten na het openbaar maken van een kwetsbaarheid zijn dreigingsgroepen al aan het scannen en proberen ze deze te misbruiken.

AI maakt dit mogelijk. Geautomatiseerde systemen lezen CVE-meldingen uit, identificeren de getroffen software, genereren exploitatie-scripts en starten scans tegen honderden doelwitten tegelijk. De menselijke patchmanagementcyclus — kwetsbaarheid beoordelen, patch testen, onderhoudsvenster plannen, update uitrollen — werkt op een tijdlijn van dagen tot weken. De door AI versnelde exploitatiecyclus werkt op een tijdlijn van minuten.

Deze versnelling heeft twee gevolgen. Ten eerste kunnen organisaties niet langer alleen vertrouwen op patchmanagement om zich te beschermen tegen bekende kwetsbaarheden. Het venster tussen melding en exploitatie is nu korter dan de tijd die nodig is om de meeste patches te beoordelen en uit te rollen. Compensatiemaatregelen — netwerksegmentatie, virtuele patching, data-gecentreerde toegangsbeperkingen — moeten direct inzetbaar zijn terwijl de patchcyclus loopt. Ten tweede onderstreept het 15-minuten venster het belang van het beperken van de impact van een geslaagde exploitatie. Als een aanvaller een kwetsbaarheid misbruikt en toegang krijgt tot een systeem, bepaalt het principe van minimaal noodzakelijke data-toegang of hij bij gevoelige data kan komen. Compartimentering beperkt zijn bewegingsruimte. Anomaliedetectie herkent afwijkingen van normale patronen. De exploitatie mag slagen, maar de exfiltratie hoeft dat niet te doen.

Vertrouwde integraties: de supply chain-aanval die je al hebt geautoriseerd

Bijna een kwart van de incidenten van het afgelopen jaar betrof aanvallers die misbruik maakten van vertrouwde integraties om aanvallen uit te voeren op SaaS-applicaties. Dit zijn geen zero-day exploits tegen onbekende kwetsbaarheden. Dit zijn aanvallen die gebruikmaken van verbindingen die de organisatie zelf heeft opgezet — OAuth-tokens, API-integraties, serviceaccounts en cross-platform datastromen die bij ontwerp bevoorrechte toegang kregen.

Sam Rubin van Unit 42 beschrijft dit als een structurele verschuiving in het risico van de toeleveringsketen, die verder gaat dan kwetsbare code naar het misbruik van vertrouwde koppelingen. Het onderscheid is belangrijk. Traditionele supply chain-beveiliging richt zich op de vraag of de code of componenten die je gebruikt kwetsbaarheden bevatten. Het nieuwe risico in de toeleveringsketen is dat de vertrouwde verbindingen tussen je systemen — elk geautoriseerd, elk bevoorrecht — laterale bewegingspaden bieden die aanvallers kunnen misbruiken zonder de alerts te triggeren die ongeautoriseerde toegang zouden moeten signaleren.

Het aanvalspatroon is bedrieglijk eenvoudig. Een aanvaller compromitteert een leverancier of partner met vertrouwde toegang tot jouw SaaS-omgeving. Ze gebruiken die vertrouwde verbinding om toegang te krijgen tot jouw data. Vanuit het perspectief van je beveiligingstools lijkt de toegang legitiem, omdat de integratie zelf legitiem is. Het OAuth-token is geldig. De API-call is geautoriseerd. De data-overdracht volgt bekende patronen — totdat dat niet meer zo is.

Hiertegen verdedigen vereist monitoring van de data-toegangspatronen van elke integratie, niet alleen de identiteiten van menselijke gebruikers. Wanneer een vertrouwde integratie data begint te benaderen met hoeveelheden, snelheden of patronen die afwijken van het gevestigde baseline, moet die afwijking dezelfde alerts en geautomatiseerde reacties uitlokken als afwijkend menselijk gedrag. Organisaties hebben uitgebreide audittrails nodig die vastleggen welke data elke integratie benadert, wanneer, in welke hoeveelheid en met welk doel. En ze moeten de mogelijkheid hebben om integratietoegang onmiddellijk in te trekken zodra anomaliedetectie een mogelijk compromis signaleert — zonder te hoeven wachten op bevestiging van de leverancier of de integratie is misbruikt.

Waarom traditionele verdedigingsarchitecturen falen tegen door AI versneld aanvallen

Het rapport van Palo Alto Networks onthult een reeks aanvalskarakteristieken die traditionele verdedigingsarchitecturen gezamenlijk ontoereikend maken. Viervoudige snelheidsversnelling. 72-minuten exfiltratievensters. Negentig procent identiteitsgebaseerde toegang. Vijftien minuten tot exploitatie van kwetsbaarheden. Misbruik van vertrouwde integraties. Elk van deze vormt op zichzelf al een uitdaging voor conventionele beveiliging. Samen beschrijven ze een dreigingslandschap dat verder gaat dan wat mensgerichte, perimetergerichte, periodiek beoordelende beveiligingsoperaties aankunnen.

Traditionele detectie vertrouwt op het correleren van signalen uit diverse databronnen — SIEM logs, endpoint-telemetrie, netwerkstromen — en laat analisten de resulterende alerts onderzoeken. Toen aanvallers wekenlang aanwezig waren, werkte dat model omdat tijd in het voordeel van de verdediger was. Met een venster van 72 minuten is tijd uitsluitend in het voordeel van de aanvaller. De correlatie-engine kan het alert genereren. De analist ziet het misschien nooit voordat de exfiltratie is afgerond.

Traditionele preventie is gericht op het buiten de perimeter houden van aanvallers. Wanneer 90% van de aanvallen gebruikmaakt van gestolen inloggegevens, is de aanvaller vanaf het eerste moment voorbij de perimeter. Firewalls, inbraakpreventiesystemen en netwerktoegangscontroles lossen een probleem op dat de aanvaller al heeft omzeild.

Traditionele respons is gericht op het identificeren van de omvang van het compromis, het isoleren van getroffen systemen en herstel. Wanneer aanvallers binnen 72 minuten exfiltreren, valt er niets meer te isoleren. De data is weg. De respons wordt forensisch onderzoek en datalekmelding — geen actieve verdediging.

Het verdedigingsmodel dat past bij deze aanvalskarakteristieken vereist drie gelijktijdig opererende capaciteiten. Real-time monitoring van data-toegang die afwijkende patronen binnen seconden herkent. Geautomatiseerde beleidsafdwinging die verdachte toegang blokkeert zonder menselijke tussenkomst. En continue verificatie die elke data-aanvraag toetst aan het gebruikersprofiel, de dataclassificatie en de actuele dreigingscontext. Dit is geen perimeter-model. Het is een data-gecentreerd model — dat ervan uitgaat dat de aanvaller al binnen is en zich richt op het voorkomen van exfiltratie in plaats van de eerste toegang.

Wat organisaties moeten doen om het AI-aanvalstempo bij te houden

Het rapport van Palo Alto Networks is gebaseerd op meer dan 750 echte incidenten. De bevindingen vragen om operationele acties, geen strategische planningssessies. Dit is wat organisaties nu moeten doen.

Implementeer real-time monitoring van data-toegang met geautomatiseerde anomaliedetectie. Het 72-minuten exfiltratievenster maakt periodieke logreviews en handmatige alerttriage onwerkbaar. Organisaties hebben continue monitoring nodig die afwijkende patronen in data-toegang binnen seconden herkent — ongebruikelijke downloadhoeveelheden, atypische dataclassificaties die worden benaderd, toegang vanaf onbekende locaties of apparaten, razendsnelle querypatronen. Anomaliedetectie moet op machinesnelheid werken, omdat de aanvallen nu op machinesnelheid plaatsvinden.

Implementeer geautomatiseerde beleidsafdwinging die exfiltratie blokkeert zonder menselijke tussenkomst. Wanneer anomaliedetectie verdachte data-toegang signaleert, moet de respons geautomatiseerd zijn. Beperk toegang, vereis extra authenticatie, blokkeer downloads, trek sessies in. Het 72-minuten venster biedt geen tijd voor een analist om het alert te ontvangen, de context te onderzoeken, de ernst te bepalen en een blokkeringsbeslissing te nemen. Geautomatiseerde afdwinging moet in milliseconden worden uitgevoerd, terwijl het beveiligingsteam tegelijkertijd wordt gewaarschuwd voor onderzoek.

Ga verder dan identiteitsverificatie naar continue, contextgebaseerde data-toegangscontroles. Authenticatie bij de voordeur is onvoldoende wanneer 90% van de aanvallen gestolen inloggegevens gebruikt. Elke data-aanvraag moet worden getoetst aan de context: de gevraagde dataclassificatie, het historische gedragspatroon van de gebruiker, de toegangslocatie en het apparaat, en de hoeveelheid en snelheid van de aanvragen. Geldige inloggegevens mogen niet voldoende zijn om toegang te krijgen tot zeer gevoelige data zonder aanvullende verificatie op basis van deze contextuele factoren. Hier vervangt op attributen gebaseerde toegangscontrole — waarbij identiteit, dataclassificatie, context en risico gelijktijdig worden geëvalueerd — de statische binaire “geauthenticeerd / niet geauthenticeerd”.

Dwing minimaal noodzakelijke data-toegang af voor elke menselijke gebruiker, AI-agent en integratie. De impact van een geslaagde diefstal van inloggegevens of integratiecompromis wordt bepaald door hoeveel data de gecompromitteerde identiteit kan bereiken. Minimaal noodzakelijke data-toegang — waarbij elke identiteit wordt beperkt tot de minimale dataclassificaties die nodig zijn voor zijn functie — is de meest effectieve controle om de impact van identiteitsgerichte aanvallen te beperken. Controleer voor elke gebruiker, agent en integratie welke data ze daadwerkelijk nodig hebben. Het Kiteworks Private Data Network dwingt deze grenzen af via een gereguleerde gateway die ervoor zorgt dat geen enkele identiteit — mens of AI — toegang krijgt tot data buiten het geautoriseerde doel.

Monitor vertrouwde integraties met dezelfde grondigheid als menselijke gebruikers. Bijna een kwart van de incidenten betrof misbruik van vertrouwde integraties. Het data-toegangspatroon van elke integratie moet continu worden gemonitord. Voor elke integratie moeten gedragsbaselines worden vastgesteld. Afwijkingen — ongebruikelijke hoeveelheden, nieuwe datacategorieën, toegang buiten het normale schema — moeten dezelfde geautomatiseerde reacties uitlokken als afwijkend menselijk gedrag. Organisaties moeten in staat zijn om integratietoegang onmiddellijk in te trekken zodra een compromis wordt vermoed.

Bouw audittrails die incident response binnen 72 minuten mogelijk maken, niet detectie in 42 dagen. Uitgebreide audittrails moeten elk data-toegangsgebeurtenis over elk kanaal vastleggen — e-mail, bestandsoverdracht, SFTP, beheerde bestandsoverdracht, API’s. Deze trails moeten in real-time doorzoekbaar zijn, niet in batchverwerking. Wanneer een incident wordt gedetecteerd, moet de audittrail direct laten zien welke data is benaderd, door wie, wanneer, vanaf waar en wat ermee is gedaan. De forensische tijdlijn moet binnen minuten beschikbaar zijn, niet binnen weken, omdat de aanval in minuten is afgerond, niet in weken.

De aanvalstijdlijn is veranderd. Jouw verdedigingstijdlijn moet mee veranderen.

Het rapport van Palo Alto Networks documenteert een fundamentele verschuiving in de aanvalstijdlijn. Aanvallers zijn vier keer sneller. Data-exfiltratie vindt plaats in 72 minuten. Gestolen inloggegevens komen voor in 90% van de gevallen. Kwetsbaarheden worden binnen 15 minuten na melding uitgebuit. Vertrouwde integraties worden gebruikt als laterale bewegingspaden.

Al deze bevindingen wijzen in dezelfde richting: verdediging moet plaatsvinden op het dataniveau, op machinesnelheid, in real-time. Het perimeter-model dat ervan uitgaat dat aanvallers buiten staan, heeft gefaald tegen toegang op basis van inloggegevens. Het detectiemodel dat vertrouwt op menselijke analyse is ongeschikt tegen 72-minuten exfiltratie. Het responsmodel dat zich richt op isolatie faalt bij aanvallen die zijn afgerond voordat isolatie begint.

Wat overblijft is een data-gecentreerd verdedigingsmodel. Continue monitoring van elk data-toegangsgebeurtenis. Geautomatiseerde afdwinging die verdachte toegang in milliseconden blokkeert. Contextgebaseerde controles die elke aanvraag toetsen aan gedragsbaselines en datagevoeligheid. Minimaal noodzakelijke toegang die de impact van een compromis beperkt. En uitgebreide audittrails die incidenten zichtbaar maken zodra ze beginnen, niet weken nadat ze zijn geëindigd.

De aanvallers hebben hun tijdlijn veranderd. Organisaties die hun tijdlijn niet aanpassen, zullen ontdekken hoe 72 minuten ongeziene toegang eruitziet bij hun volgende datalekmelding.

Wil je weten hoe Kiteworks kan helpen? Plan vandaag nog een demo op maat.

Aanvullende bronnen

• Blog Post Zero Trust Architectuur: Never Trust, Always Verify
• Video Microsoft GCC High: Nadelen die defensie-aannemers richting slimmere voordelen sturen
• Blog Post Hoe je geclassificeerde data beveiligt zodra DSPM deze markeert
• Blog Post Vertrouwen opbouwen in Generatieve AI met een Zero Trust-aanpak
• Video De definitieve gids voor veilige opslag van gevoelige data voor IT-leiders