Identiteitsaanvallen halen exploits in als belangrijkste oorzaak van ransomware

Securityteams hebben het grootste deel van een decennium te horen gekregen dat sneller patchen de beste manier was om ransomware te stoppen. Nieuwe gegevens uit 2026 laten zien dat dit advies niet langer het dreigingslandschap weerspiegelt waarmee organisaties daadwerkelijk te maken hebben. Identiteitscompromittering, en niet software-exploitatie, is nu het dominante pad dat aanvallers gebruiken om binnen te komen, en een controlemechanisme waar de meeste organisaties op vertrouwen om dit te voorkomen, blijkt veel minder sluitend dan inzetrapportages suggereren.

In deze post wordt uitgelegd wat er is veranderd, waarom een controle die in 97% van de ransomware-incidenten met gecompromitteerde inloggegevens aanwezig was toch faalde, en wat dat betekent voor de prioritering van investeringen door security- en compliance-teams in de komende twaalf maanden.

Belangrijkste inzichten

1. Identiteitsaanvallen veroorzaken nu meer ransomware dan software-exploits. Uit de State of Ransomware 2026-enquête van Sophos blijkt dat kwaadaardige e-mail (26%) en phishing (24%) samen kwetsbaarheidsexploitatie (18%, gedaald van 32% drie jaar geleden) hebben ingehaald als belangrijkste oorzaak van ransomware.

2. MFA was aanwezig, maar faalde alsnog. In 97% van de ransomwaregevallen waarbij gecompromitteerde inloggegevens de hoofdoorzaak waren, was multi-factor authentication al ergens in de omgeving geïmplementeerd. Dit bewijst dat aanwezigheid van MFA en volledige MFA-dekking niet hetzelfde zijn.

3. Een live aanvalscampagne laat precies zien hoe dat gat wordt misbruikt. Tussen 12 en 26 juni 2026 gebruikten aanvallers de verouderde OAuth Resource Owner Password Credentials-flow om meer dan 81 miljoen inlogpogingen uit te voeren en 78 accounts bij 64 organisaties te compromitteren, waarbij MFA werd omzeild omdat het nooit in het authenticatiepad van dat protocol zat.

4. Misbruik van inloggegevens loopt door de hele aanvalsketen, niet alleen via de voordeur. Het Verizon Data Breach Investigations Report 2026 vond dat misbruik van inloggegevens in 39% van de datalek-ketens voorkwam, zelfs in een jaar waarin kwetsbaarheidsexploitatie weer de belangrijkste methode voor initiële toegang werd.

5. Compliance-tijdlijnen verschuiven, maar het onderliggende risico niet. Het Department of War schortte op 13 juli 2026 de CMMC 2.0 Fase 2-certificeringsvereisten door derden op voor een herziening van 60 dagen, terwijl de Fase 1-zelfevaluatie en DFARS 252.204-7012 beveiligingsverplichtingen volledig van kracht blijven.

De hoofdoorzaak van ransomware is verschoven van exploits naar identiteitsaanvallen en MFA-lekken

Securityteams kregen jarenlang te horen dat sneller patchen de beste manier was om ransomware buiten de deur te houden. Dat advies beschrijft een dreigingsmodel dat niet langer overeenkomt met de data. Het State of Ransomware 2026-rapport van Sophos, gebaseerd op een enquête onder 2.158 IT- en cybersecurityleiders uit 17 landen waarvan de organisaties het afgelopen jaar door ransomware zijn getroffen, toont aan dat phishing en kwaadaardige e-mail nu samen goed zijn voor de helft van alle hoofdoorzaken van ransomware. Kwetsbaarheidsexploitatie, drie jaar lang de dominante oorzaak, daalde naar 18% van 32%.

Die verschuiving op zich is al significant. Wat het nog belangrijker maakt, is de tweede bevinding die in dezelfde enquête verscholen zit: multi-factor authentication was in een of andere vorm geïmplementeerd in 97% van de incidenten waarbij gecompromitteerde inloggegevens de oorzaak waren. Het controlemechanisme waarop organisaties vertrouwden om juist dit soort aanvallen te stoppen, was al aanwezig—en stopte de aanval niet.

In deze post wordt uitgelegd wat de Sophos-data daadwerkelijk laat zien, een live aanvalscampagne uit juni 2026 die het mechanisme achter dat 97%-cijfer demonstreert, bevestigende data uit het Verizon 2026 Data Breach Investigations Report, en een recente compliance-ontwikkeling die het speelveld voor gereguleerde organisaties verandert zonder het onderliggende dreigingsniveau te wijzigen. Organisaties die vertrouwen op Kiteworks secure data exchange om toegang tot gevoelige content te beheren, worden door deze verschuiving anders geraakt dan organisaties die alleen op authenticatie vertrouwen—en dat verschil wordt met elk kwartaal belangrijker.

Wat de Sophos-data van 2026 daadwerkelijk laat zien

Drie cijfers uit het Sophos-rapport verdienen extra aandacht naast de verschuiving in hoofdoorzaken.

Ten eerste gaf tweederde van de slachtoffers, 67%, aan Sophos aan dat de ransomware-aanval die ze hadden ondergaan hun meest significante identiteitsgerelateerde aanval van het afgelopen jaar was. Dat is een opvallende bekentenis van een groep organisaties die per definitie allemaal een succesvolle ransomware-aanval hebben meegemaakt. Het betekent dat de identiteitscompromittering niet toevallig was bij het datalek. Het was het datalek, met encryptie als laatste stap in plaats van het toegangspunt.

Ten tweede waren gecompromitteerde inloggegevens in 23% van de gevallen de specifieke hoofdoorzaak, los van de phishing- en kwaadaardige e-mailcategorie. Gecombineerd met de 50% phishing- en e-mailgevallen betekent dit dat ongeveer driekwart van de ransomware-aanvallen in deze enquête terug te voeren is op een vorm van identiteitscompromittering in plaats van een technische kwetsbaarheid. Een succesvolle ransomware-inbraak via diefstal van inloggegevens geldt als een meldingsplichtig datalek onder HIPAA, GDPR en vergelijkbare kaders, ongeacht of encryptie uiteindelijk de payload is—de identiteitscompromittering en alle data die de aanvaller tijdens laterale beweging heeft benaderd, activeren meldingsverplichtingen onafhankelijk van het ransomware-incident zelf.

Ten derde, en het meest relevant voor securitybudgetten die zijn opgebouwd rond authenticatiecontroles, is het MFA-cijfer. Sophos vond dat waar gecompromitteerde inloggegevens de oorzaak waren, 97% van de getroffen organisaties al multi-factor authentication had geïmplementeerd. Het rapport wijt dit aan twee overlappende oorzaken: onvolledige uitrol over alle systemen die het daadwerkelijk nodig hadden, en omzeiltechnieken die zich sneller ontwikkelen dan de defensieve dekking. Geen van beide verklaringen is geruststellend, want beide beschrijven een gat dat een compliance-checklist met “MFA: Ingeschakeld” niet zou opmerken.

Waarom MFA-aanwezigheid geen MFA-dekking is: de OAuth-campagne van juni 2026

De duidelijkste illustratie van hoe een controle die in 97% van de gevallen is uitgerold toch 97% van de tijd faalt, kwam naar voren in dezelfde maand dat Sophos zijn rapport publiceerde. Tussen 12 en 26 juni 2026 voerden aanvallers volgens The Hacker News meer dan 81 miljoen inlogpogingen uit op Microsoft 365- en Azure-accounts, waarbij uiteindelijk 78 accounts bij 64 organisaties werden gecompromitteerd.

De techniek bestond er niet uit dat een gebruiker werd misleid om een pushmelding goed te keuren of een eenmalige code in te voeren op een valse inlogpagina. Er werd misbruik gemaakt van de OAuth Resource Owner Password Credentials-flow, een verouderde authenticatiemethode die Microsoft jaren geleden heeft uitgefaseerd, maar die in de meeste Azure-tenants nog steeds werkt voor achterwaartse compatibiliteit met oudere applicaties. Verslaggeving van de campagne door Secure Bulletin beschreef hoe ROPC een gebruikersnaam en wachtwoord direct naar het token-endpoint van de identiteitsprovider stuurt, zonder interactieve prompt in het hele proces. Er was geen MFA-uitdaging die de aanvallers moesten omzeilen, omdat het protocol er nooit een genereerde.

De getroffen organisaties sloegen MFA niet over uit beleidsoverwegingen. Hun SaaS-accounts hadden in de meeste gevallen MFA en voorwaardelijke toegang correct geconfigureerd. Hun VPN-concentrators, firewall-beheerconsoles en legacy bedrijfsapplicaties kregen echter niet dezelfde behandeling, omdat niemand een inventaris had gemaakt van elk systeem waar een inloggegeven nog bruikbaar was zonder tweede factor. Dat is precies het gat dat Sophos in abstracte termen beschreef: MFA “was mogelijk niet volledig uitgerold over alle relevante systemen, waardoor er gaten ontstonden die aanvallers konden misbruiken.”

Twee onafhankelijke databronnen, zes weken na elkaar, die hetzelfde faalmechanisme beschrijven, is geen toeval. Het is een patroon, en dat patroon heeft een naam: MFA-inzet behandelen als een afgerond project in plaats van als een continu geverifieerde inventaris. Een formele risicobeoordeling die elk authenticatie-endpoint koppelt aan de actuele MFA-handhavingsstatus—niet alleen de SaaS-applicaties waar handhaving het makkelijkst te verifiëren is—is de basisstap die een MFA-beleid omzet in een MFA-programma.

Het patroon achter de cijfers: wat Verizon’s DBIR 2026 bevestigt

Een scepticus zou de Sophos-bevindingen kunnen lezen als specifiek voor ransomware, of als specifiek voor de OAuth ROPC-campagne als een uitzonderlijk goed uitgevoerde operatie. Het 2026 Data Breach Investigations Report van Verizon, dat meer dan 22.000 bevestigde datalekken analyseerde, spreekt die beperkte lezing tegen.

De data van Verizon laten zien dat kwetsbaarheidsexploitatie dit jaar weer de belangrijkste methode voor initiële toegang is, wat echt een ander beeld geeft dan de ransomware-specifieke Sophos-enquête. Maar misbruik van inloggegevens speelt nog steeds een rol in 39% van de volledige datalek-ketens, wat betekent dat het de meest voorkomende techniek blijft in de hele aanvalsketen, zelfs in een jaar waarin het niet de belangrijkste binnenkomer was. Identiteitscompromittering concurreert niet met andere aanvalsmethoden om de eerste plaats in één categorie; het duikt op in meerdere fasen: initiële toegang in sommige gevallen, laterale beweging en privilege-escalatie in de meeste andere, ongeacht hoe de aanvaller oorspronkelijk binnenkwam.

Dat onderscheid is belangrijk voor de prioritering van investeringen door securityleiders. Een verdediging die volledig gericht is op het stoppen van initiële toegang—of dat nu via patchen of MFA is—laat de rest van de keten grotendeels onbewaakt: het deel waar een inloggegeven van het ene systeem naar het andere gaat, of waar een aanvaller met legitiem ogende toegang content aanraakt die nooit voor hem bedoeld was. Risicobeheer toeleveringsketen-programma’s die identiteitsbeheer uitbreiden naar accounts van derde partijen—met name serviceaccounts die door leveranciers worden gebruikt om interne systemen te benaderen—pakken de fase van laterale beweging aan die de Verizon-data aanwijst als het meest voorkomende element in datalek-ketens.

Compliance-momentum gepauzeerd, niet geannuleerd: de opschorting van CMMC 2.0 Fase 2

Gereguleerde organisaties, vooral in de defensie-industrie, kregen deze maand een herinnering dat compliance-tijdlijnen sneller kunnen verschuiven dan het onderliggende risico, in beide richtingen. Op 13 juli 2026 schortte het Department of War Fase 2 van het CMMC-programma op—de Level 2-certificeringsbeoordelingen door derden die vanaf 10 november 2026 in DoD-contractaanbestedingen zouden verschijnen—voor een hervormingsonderzoek van 60 dagen, volgens het eigen bericht van het Department of War en bevestigende berichtgeving van Federal News Network.

Wat niet is veranderd, verdient het om duidelijk te worden gesteld, omdat het makkelijk is om een gepauzeerde auditvereiste te verwarren met een gepauzeerde verplichting. DFARS 252.204-7021, de contractclausule rond CMMC 2.0, blijft van kracht. Fase 1-zelfevaluatievereisten, die in november 2025 van kracht werden, blijven ongewijzigd. En de onderliggende DFARS 252.204-7012 beveiligingsvereisten voor beschermde informatie over defensie, samen met de NIST 800-171 controlefamilies waar ze op zijn gebaseerd, waaronder Identificatie en Authenticatie en Audit en Verantwoording, blijven volledig van kracht gedurende de 60 dagen durende herziening.

De identiteits- en toegangscontroles die een Level 2-beoordelaar zou verifiëren onder de gepauzeerde tijdlijn, zijn dezelfde controles waarvan de Sophos-data nu aantonen dat ze stilletjes falen in de bredere markt. Een aannemer die de opschorting als een vrijbrief ziet om te vertragen, lost een planningsprobleem op maar laat de daadwerkelijke blootstelling onveranderd. NIST 800-171 compliance-documentatie die de actuele identiteits- en toegangscontroles koppelt aan specifieke praktijkvereisten—continu bijgehouden in plaats van vlak voor de beoordeling samengesteld—is zowel het bewijsstuk dat de gepauzeerde C3PAO-beoordeling zou hebben geëvalueerd als het False Claims Act-verweer dat de zelfverklaarde SPRS-score van een aannemer beschermt.

Van toegangscontrole naar content governance: het post-authenticatiegat dichten

De tactische reactie op dit alles—meer MFA inzetten en uitbreiden naar meer systemen—is noodzakelijk en niet verkeerd. Maar het is op zichzelf niet voldoende, want de data laat zien dat hetzelfde faalmechanisme zich blijft herhalen, zelfs in omgevingen waar de MFA-dekking op papier volledig leek. De duurzamere oplossing vereist dat een succesvolle login wordt gezien als het begin van een tweede, aparte beveiligingsvraag in plaats van het einde van de eerste: zodra een identiteit is geauthenticeerd, wat mag deze daadwerkelijk benaderen, en kan de organisatie achteraf bewijzen wat er is benaderd?

Die tweede vraag is waar toegangscontroles gebaseerd op rolgebaseerde toegangscontrole (RBAC) en op attributen gebaseerde toegangscontrole (ABAC: Attribute Based Access Control) werk doen dat authenticatie alleen niet kan. De Data Policy Engine van Kiteworks beoordeelt elk verzoek tot gevoelige content op basis van gebruikersrol, contentclassificatie en context op het moment van het verzoek, in plaats van te vertrouwen op één authenticatiegebeurtenis als autorisatie voor de rest van de sessie. Een gecompromitteerd inloggegeven dat een gat in de MFA-dekking passeert, moet nog steeds een tweede, onafhankelijke beleidscontrole doorstaan voordat het content kan bereiken die onder dat model wordt beheerd. Het toepassen van dataclassificatie-labels op gevoelige content voordat deze een beheerd kanaal binnenkomt, is de voorwaarde die ABAC-beleidsafdwinging nauwkeurig maakt: een policy engine kan geen toegang beperken op gevoeligheidsniveau als content niet gecategoriseerd is. Dataminimalisatie toegepast op de scope van inloggegevens verkleint de schade verder: accounts alleen toegang geven tot de content die hun rol vereist—en niet tot de maximale content die hun rechten technisch mogelijk maken—betekent dat een gecompromitteerd inloggegeven veel minder kan bereiken, zelfs als MFA volledig wordt omzeild.

De audittrail die door diezelfde beleidslaag wordt gegenereerd, maakt van “we denken dat dit account is gecompromitteerd” een beantwoordbare vraag tijdens incident response. De uniforme logging van Kiteworks over beveiligde e-mail, beveiligde bestandsoverdracht, beheerde bestandsoverdracht en webformulieren betekent dat een securityteam bij het onderzoeken van een gecompromitteerde identiteit exact kan bepalen wat er is benaderd, wanneer en vanaf waar, over elk kanaal dat door het platform wordt beheerd—en niet achteraf die puzzel uit losse logs hoeft te reconstrueren. Door die uniforme auditstroom in real time te koppelen aan een SIEM-platform krijgen securityteams de gedragsanalyse die nodig is om afwijkende post-authenticatie-activiteiten te detecteren—de fase van laterale beweging die de Verizon DBIR aanwijst als het meest voorkomende element in datalek-ketens—voordat het tot exfiltratie komt. Dit is het praktische verschil tussen een zero trust-architectuur die alleen op de netwerkperimeter wordt toegepast en een die wordt uitgebreid naar de contentlaag, waar de data die de aanvaller daadwerkelijk wil hebben zich bevindt.

Het Kiteworks Data Security and Compliance Risk: 2026 Forecast Report geeft een cijfer aan hoe wijdverbreid deze specifieke zwakte is: 33% van de organisaties mist audittrails van bewijskwaliteit, en dat ene gat correleert met AI governance-maturiteitsscores die 20 tot 32 punten lager liggen op alle andere AI governance-dimensies die in het onderzoek zijn gemeten. Zichtbaarheid na authenticatie is geen secundaire controle. Het is eerder een leidende indicator van hoe goed een organisatie data in het algemeen beheert.

Een data security-programma bouwen dat bestand is tegen identiteitsrisico

Niets hiervan pleit ervoor om multi-factor authentication te laten varen of als een mislukte controle te beschouwen. Het pleit ervoor om identiteitsrisico te behandelen als een programma met meerdere lagen in plaats van als één implementatiemijlpaal.

Begin met een eerlijke inventarisatie van elk systeem, protocol en applicatie die een inloggegeven kan bereiken, niet alleen de SaaS-applicaties waar MFA-handhaving het makkelijkst te configureren en te rapporteren is. VPN-concentrators, firewall-beheerconsoles, SFTP-servers en elke legacy-applicatie die nog een verouderde authenticatieflow draait “voor compatibiliteit” verdienen dezelfde aandacht die de campagne van juni 2026 blootlegde bij 64 organisaties die waarschijnlijk dachten dat hun MFA-dekking volledig was.

Schaf verouderde protocollen af waar dat mogelijk is, en documenteer een compenserende controle waar dat niet kan. ROPC is om een gedocumenteerde reden verouderd, en het is onwaarschijnlijk dat het de enige legacy-flow is die nog stilletjes een wachtwoord accepteert zonder interactieve uitdaging.

Breid incident response-planning uit met het uitgangspunt dat een inloggegeven uiteindelijk gecompromitteerd zal raken ondanks MFA, en bouw de SIEM- en auditlogging-integratie die nodig is om binnen uren in plaats van weken precies te kunnen bepalen wat dat inloggegeven heeft benaderd. Een gedocumenteerd incident response-plan dat scenario’s met credential-based ransomware-inbraken dekt—waaronder de stappen voor laterale beweging en exfiltratie, de HIPAA- of DFARS-meldingsbeoordeling en de rotatie van inloggegevens—geeft securityteams de operationele structuur die ze nodig hebben om te handelen met de snelheid die een verkorte dwell time van aanvallers vereist.

Behandel tenslotte de pauze in de handhaving van CMMC 2.0 Fase 2 als een kans in plaats van een uitstel van de deadline. Organisaties die blijven bouwen aan de identiteits-, toegangs- en auditcontroles die de gepauzeerde beoordelingen moesten verifiëren—met name rond CUI-afhandeling—staan er materieel sterker voor zodra de 60-daagse herziening is afgerond, ongeacht hoe het uiteindelijke framework eruitziet.

Wat deze verschuiving betekent voor cyberverzekeringen en rapportage aan de raad van bestuur

Verzekeringsmaatschappijen hebben de afgelopen verlengingscycli steeds gevraagd of een aanvrager MFA heeft geïmplementeerd, waarbij een ja-antwoord werd gezien als een relevante risicoreductie. De Sophos-data ondermijnen die aanname direct: een “ja” op de MFA-vraag vertelde verzekeraars vrijwel niets over de volledigheid van de implementatie. Een organisatie die eerlijk antwoordde en toch slachtoffer werd van een ransomware-aanval via een gat in diezelfde dekking, staat nu bij verlenging slechter voor dan een organisatie die nooit volledige dekking claimde.

Raden van bestuur en auditcommissies stellen een variant van dezelfde vraag, meestal geformuleerd als “zijn we gedekt” in plaats van “waar zitten de gaten”. Een bruikbaarder bestuursniveau-metric vervangt de binaire MFA-vraag door een gespecificeerde: welk percentage van de systemen dat toegang heeft tot gevoelige content handhaaft vandaag MFA, en wat is het plan en de tijdlijn om de rest af te dekken. Die benadering verandert risicobeoordeling van een compliance-checkbox in een doorlopende meting waar het securityteam kwartaal na kwartaal over kan rapporteren, net zoals een dashboard voor beheerde activiteiten risico-indicatoren over een hele omgeving aggregeert in plaats van één enkele pass/fail-status te tonen.

Deze herformulering is ook relevant voor gesprekken met verzekeraars. Een organisatie die een actuele, specifieke inventaris van MFA-dekkingsgaten kan overleggen, samen met een beheerde audittrail die laat zien welke inloggegevens toegang hadden tot e-mail, bestandsoverdracht en beheerde bestandsoverdracht, toont een materieel andere risicopositie dan een organisatie die alleen een beleidsdocument kan overleggen waarin staat dat MFA vereist is. Het eerste is het soort bewijs waar verzekeraars steeds vaker direct om vragen; het tweede is het soort antwoord dat volgens de Sophos-data niet langer geruststellend is. Gegevensbeheer-documentatie die in kaart brengt welke content elke inloggegevensklasse kan benaderen—georganiseerd op gevoeligheidsniveau, met actuele toegangsscope en laatste beoordelingsdatum—is het interne dossier dat zowel de bestuursmetric als het verzekeringsgesprek baseert op verifieerbare feiten in plaats van beleidsuitspraken.

Meer weten over het dichten van de kloof tussen authenticatie en contenttoegang met beheerde, geauditeerde data-uitwisseling? Plan vandaag nog een persoonlijke demo.

Aanvullende bronnen

• Blog Post Zero Trust-architectuur: nooit vertrouwen, altijd verifiëren
• Video Microsoft GCC High: nadelen die defensie-aannemers richting slimmere voordelen sturen
• Blog Post Hoe je geclassificeerde data beveiligt zodra DSPM het signaleert
• Blog Post Vertrouwen opbouwen in generatieve AI met een Zero Trust-aanpak
• Video De definitieve gids voor veilige opslag van gevoelige data voor IT-leiders