Overzicht cyberaanvallen 2026

Dit overzicht cyberaanvallen 2026 zet alle 74 bevestigde hacks, datalekken en ransomware-aanvallen in Nederland van dit jaar op een rij: de 25 grootste lichten we uitgebreid toe, alle 74 staan in de tijdlijn per maand. Het loopt van het Odido-lek in februari tot de stilgevallen distributiecentra van Albert Heijn en de PHP-lekken die in oktober DigiD, MijnOverheid en honderden andere websites uit voorzorg offline brachten. Per incident beschrijven we wie erachter zat, hoe de aanvallers binnenkwamen, wat de schade was en wat organisaties ervan kunnen leren, gevolgd door de aanhoudingen en ontmantelingen van dit jaar, een tijdlijn per maand, de internationale aanvallen die ook Nederland raakten en de lessen voor 2027. Alles rust op publieke bronnen; claims van daders benoemen we als claims.

Laatst bijgewerkt: 11 november 2026. We vullen dit overzicht aan tot het einde van het jaar.

Patronen

De vier rode draden van 2026

Wie de 74 bevestigde incidenten naast elkaar legt, ziet geen 74 losse verhalen maar een handvol patronen. Vier daarvan verklaren het grootste deel van de schade. Twee andere lopen daar dwars doorheen: de overheid als meest getroffen sector (15 van de 74 incidenten, van de BRP-export in Epe tot de zero-day bij Financiën) en afpersing die steeds nieuwe vormen aanneemt, van de “vernietigde” ChipSoft-data tot de mails van 10 euro aan klanten van Flink. De Autoriteit Persoonsgegevens telde over 2025 al 136 ransomware-meldingen (2024: 127) en 44.374 datalekmeldingen, 17 procent meer dan een jaar eerder.

1. Helpdesk-vishing en identiteit

De grootste schade van 2026 begon niet met een geavanceerde exploit, maar met een telefoontje. Bij Odido deed een beller zich voor als IT-medewerker, lokte een klantenservicemedewerker naar een nagemaakte inlogpagina en liet die ook de tweede inlogfactor goedkeuren; het gevolg was een lek van 6,2 miljoen accounts met volgens een NOS-analyse ruim 5 miljoen unieke ID-documentnummers. Bij BCD Travel volstond één gecompromitteerd intern account voor 396.313 geverifieerde e-mailadressen (Have I Been Pwned), bij Eurail verloren 308.777 reizigers hun paspoortnummers en bij Flink was volgens het bedrijf één set gestolen inloggegevens van een medewerker genoeg. Negen van de 25 grootste incidenten draaien om identiteit: wie je bent, wie zich als jou voordoet en welke identiteitsgegevens een organisatie bewaart. Het Cybercrimebeeld 2026 van politie en OM schat dat in 2025 zo’n 2,5 miljoen Nederlanders slachtoffer werden van cybercrime of online fraude; DNB telde 658.000 fraude-incidenten in het betalingsverkeer, met 198 miljoen euro schade.

2. Ketenaanvallen via leveranciers

Elf van de 74 bevestigde incidenten, 15 procent, liepen via een leverancier: een EPD-leverancier, een leerplatform, een fulfilmentpartner, een boekingssysteem, een mondzorgleverancier. Het bereik van zo’n incident is daarbij het echte probleem. ChipSoft levert het patiëntendossier aan ruim 70 procent van de ziekenhuizen (NOS); één ransomware-aanval zette patiëntportalen bij ruim tien ziekenhuizen weken offline. Eén lek bij Instructure raakte zeven bevestigde universiteiten en volgens de daders 44 Nederlandse instellingen, midden in de tentamenperiode. Eén inbraak bij CEVA Logistics dwong Bol, de Bijenkorf, ING, Ace & Tate en Ajax tegelijk tot klantmails. De Rijksinspectie Digitale Infrastructuur meldde in juli dat bij 76 procent van de telecomincidenten een leverancier betrokken is. Internationaal was het beeld hetzelfde, van de TeamPCP-cascade via ontwikkeltools tot de Japanse cloudprovider die in zeven minuten 495 organisaties kwijtraakte.

3. Edge devices en zero-days

Alles wat aan de rand van het netwerk staat en aan internet hangt (VPN’s, firewalls, toegangsgateways, beheersoftware voor telefoons, camera’s) was in 2026 opnieuw het favoriete doelwit van zowel criminelen als staten. Ruim tien bevestigde Nederlandse incidenten vallen in deze categorie. Via twee zero-days in Ivanti EPMM hadden aanvallers minstens vijf maanden toegang tot medewerkersgegevens van de Dienst Justitiële Inrichtingen. Een zero-day bij een leverancier legde de beleidskern van het ministerie van Financiën plat. Bij FortiBleed bleken minstens 279 Nederlandse organisaties getroffen; bij 136 daarvan hadden aanvallers nog actieve beheerdersrechten, op geen van de onderzochte firewalls stond een tweede factor aan en 85 procent draaide verouderde firmware (Secutec/SOCRadar). Eind september schakelden drie ziekenhuizen en de Rijksoverheid hun Citrix-omgeving preventief uit vanwege twee kritieke lekken met wereldwijd 50.277 bereikbare instanties. Op 7 oktober waarschuwden AIVD, MIVD en NCSC voor een forse toename van Chinese aanvallen op precies dit type apparatuur. Twee weken later ging het een stap verder dan de rand van het netwerk: na de aankondiging van twee kritieke lekken in PHP, de programmeertaal onder een groot deel van alle websites, haalden DigiD, MijnOverheid, de Tweede Kamer, ziekenhuizen en minstens 13 veiligheidsregio’s hun websites op 21 oktober uit voorzorg offline. En begin november zetten aanvallers bij minstens 17 Nederlandse bedrijven via internet de temperatuur van koel- en vriesinstallaties hoger, met niet meer dan een standaardwachtwoord.

4. AI als aanvaller

In 2025 schreven we in De opkomst van de AI-pentester dat autonome aanvalsagents in het lab veel konden en in de praktijk nog weinig. In 2026 verscheen het eerste gedocumenteerde Nederlandse geval. Op 21 september brak volgens DIVD een autonome AI-agent in via twee zero-days in het helpdesksysteem van het instituut; de agent liet verklarende notities achter in zijn eigen scripts en verstoorde zichzelf met password spraying, waarna netwerksegmentatie de schade beperkte (BleepingComputer). Internationaal ging het verder: in Taiwan werkten tot acht samenwerkende agents vier dagen door en bereikten 21 overheidssystemen, 85 accounts en 2.500 personeelsdossiers, en Unit 42 documenteerde één agent-framework dat ruim 460 doelen in drie landen aanviel. Opvallend in dat laatste rapport: de volledig autonome pogingen mislukten, de handmatig aangestuurde slaagden. Eerlijk is eerlijk: dit is de rode draad met de minste harde Nederlandse cijfers. Maar de frameworks zijn gratis en openbaar, AIVD en MIVD melden dat Chinese actoren vaker AI inzetten om kwetsbaarheden te vinden, en volgens het Cybersecuritybeeld Nederland van 6 november zetten aanvallers AI inmiddels in alle fasen van een aanval in. Dezelfde techniek werkt ook voor de verdediging: de PHP-lekken van oktober werden gevonden door onderzoekers die met hulp van AI meer dan tien jaar oude code doorlichtten.

Bijna geen van de 25 grootste incidenten van 2026 begon met een techniek die in 2025 nog niet bestond. De uitzondering heet DIVD.

De top 25

De belangrijkste cyberaanvallen van 2026 in Nederland

Gerangschikt op maatschappelijke impact. Waar bronnen elkaar tegenspreken noemen we beide cijfers. Bij lopende zaken geven we de laatst bevestigde stand, die van 11 november 2026.

Datalek bij Odido (februari 2026)

Wanneer

februari

Aanval

Voice phishing, datadiefstal

Dader

ShinyHunters

Geraakt

6,2 miljoen accounts

Daders: ShinyHunters, opgeëist en op 24 februari door NOS bevestigd. De politie zag sterke aanwijzingen voor Nederlandstalige betrokkenheid en gaf op 7 september in Opsporing Verzocht een stemfragment van de beller vrij. Het OM voert een strafrechtelijk onderzoek; een verdachte voor deze hack is niet bekendgemaakt.

Techniek: voice phishing. Een beller deed zich voor als IT-medewerker, lokte een klantenservicemedewerker naar een nagemaakte inlogpagina en liet die ook de MFA-stap goedkeuren. Daarna werd circa 48 uur lang geautomatiseerd het klantcontactsysteem leeggetrokken. Odido merkte de diefstal pas toen de hackers zich op 7 februari meldden; de leverancier van dat systeem had eind januari nog voor precies deze methode gewaarschuwd.

Impact: volgens Odido 6,2 miljoen accounts, inclusief oud-klanten en Ben; volgens een NOS-analyse van de gepubliceerde set minstens 6,5 miljoen personen en 600.000 bedrijven, met ruim 5 miljoen unieke nummers van paspoorten en rijbewijzen. De daders claimden 8 miljoen klanten. Gelekt: naam, adres, geboortedatum, e-mail, telefoon, IBAN, documentnummer met vervaldatum en klantnotities. Odido weigerde het losgeld (volgens NOS een “laag zevencijferig bedrag”, volgens RTL meer dan een miljoen euro, later volgens media verlaagd naar 500.000 euro), waarna de data op 26 februari deels en op 1 maart volledig online kwam, inclusief 16.300 zakelijke adressen van vitale bedrijven en overheid. Meer dan 350.000 mensen sloten zich aan bij een massaclaim. AP en RDI doen een gezamenlijk onderzoek, nog zonder uitkomst (stand 11 november 2026).Bron: NOS

Les: een helpdesk met brede exportrechten is de zwakste schakel van elk bedrijf met miljoenen klanten. Een tweede inlogfactor houdt geen stand als een medewerker die telefonisch goedkeurt voor iemand die zich als “IT” voordoet. Phishingbestendige authenticatie, verificatie van bellers via een onafhankelijk kanaal en alarmering op afwijkend exportvolume hadden dit lek kleiner gemaakt. En wie identiteitsnummers van oud-klanten niet bewaart, kan ze ook niet verliezen.

Cyberaanval op Albert Heijn (oktober 2026)

Wanneer

11 oktober

Aanval

Cyberaanval, systemen uitgeschakeld

Dader

Onbekend

Geraakt

AH, Etos, Gall & Gall

Daders: onbekend. Er is geen claim. Ahold Delhaize spreekt van een cybersecurity-incident veroorzaakt door “kwaadwillende handelingen van anderen”, informeerde het NCSC binnen 24 uur en deed op 19 oktober aangifte bij de politie. Een woordvoerder zei tegen Reuters geen reden te zien voor een verband met de aanval op Franse supermarkten hetzelfde weekend.

Techniek: niet bekendgemaakt. Albert Heijn schakelde op zondagmiddag 11 oktober systemen “preventief” uit. Volgens anonieme bronnen van de NOS zagen ICT-medewerkers verdacht verkeer via servers in onder meer de Verenigde Staten, Polen, Moldavië en Turkije. Ransomware is niet bevestigd, ook niet bij de kwartaalcijfers van 4 november.

Impact (stand 11 november 2026): websites, apps en klantenservice van Albert Heijn, Etos en Gall & Gall gingen offline, online bestellingen werden geannuleerd en Bonus, Koopzegels en Air Miles werkten niet. Winkels bleven open, maar elektronische schapkaartjes toonden oude actieprijzen en vooral bij groente en fruit bleven schappen leeg. Van de zeven grote distributiecentra lagen er meerdere, volgens RTL bijna alle, stil; AH en Ahold Delhaize noemen zelf geen aantal. Ook Delhaize België en de Amerikaanse ketens waren geraakt. Op 19 oktober waren de website en app van AH, Etos en Gall & Gall weer online en vanaf 23 oktober werd weer thuisbezorgd; volgens topman Frans Muller was het grootste deel van de verstoring binnen twee weken onder controle en wordt verder gewerkt aan volledig herstel. Volgens het bedrijf is er geen bewijs dat gevoelige gegevens van klanten, medewerkers of partners zijn gestolen. Ahold Delhaize raamt de schade in het vierde kwartaal op 200 tot 250 miljoen euro minder omzet en 75 tot 100 miljoen euro lager onderliggend bedrijfsresultaat. Dit incident loopt nog: oorzaak, daders en de uitkomst van het onderzoek zijn niet bekend. We werken dit bij zodra er meer is bevestigd.Bron: update Ahold Delhaize van 19 oktober, kwartaalbericht van 4 november en NOS

Les: bij een retailer is de schade van een cyberincident vooral logistiek. Als IT en fysieke keten aan elkaar vastzitten, legt het preventief uitschakelen van IT ook winkels en versketen lam, en dat kost hier naar eigen raming een kwart miljard euro omzet in één kwartaal, zonder dat er volgens het bedrijf data is gestolen. Organisaties moeten weten welke kernprocessen bij isolatie van het netwerk door kunnen, netwerken zo segmenteren dat een afsluiting lokaal kan blijven, en vooraf een communicatieplan hebben. Het gat van bijna een dag tussen storing en uitleg vulde zich hier vanzelf met speculatie. Sinds 15 augustus geldt bovendien de Cyberbeveiligingswet, met een meldplicht die ook voor supermarkten geldt.

Ransomware bij ChipSoft (april 2026)

Wanneer

april

Aanval

Ransomware via leverancier

Dader

Embargo

Geraakt

Ziekenhuizen, huisartsen, klinieken

Daders: de ransomwaregroep Embargo, die de aanval opeiste met een claim van 100 GB en twee aftelklokken rond 20 tot 23 april. De groep richt zich volgens ESET vaak op de zorg en werkt met dubbele afpersing.

Techniek: ransomware op de door ChipSoft zelf gehoste HiX-omgeving, ontdekt op 7 april. De initiële toegangsroute is nooit bekendgemaakt. Instellingen die de software zelf of bij een derde hosten, waren niet getroffen.

Impact: ChipSoft levert het elektronisch patiëntendossier aan ruim 70 procent van de ziekenhuizen. Gestolen zijn persoonsgegevens inclusief medische gegevens van patiënten bij “enkele” klanten: volgens de LHV enkele tientallen huisartsenpraktijken (vooral Noord-Limburg), revalidatieklinieken Basalt en Roessingh en het Oogziekenhuis Rotterdam. Het aantal patiënten is nooit bekendgemaakt. Portalen gingen uit voorzorg offline bij elf ziekenhuizen (NOS) of vijftien (Techzine); het Martini Ziekenhuis zat circa drie weken zonder. De AP ontving ruim zestig meldingen. ChipSoft onderhandelde met de daders en meldde op 28 april dat alle gestolen data was vernietigd; of er is betaald, zegt het bedrijf niet, en minister Sterk stelde dat vernietiging nooit met zekerheid is vast te stellen. De RDI onderzoekt de zorgplicht.Bron: ChipSoft en NOS

Les: één leverancier die voor het grootste deel van een sector een gehoste dienst draait, is een single point of failure voor die hele sector. Wie de software zelf beheerde bleef buiten schot; wie de gehoste variant gebruikte stond weken zonder portalen. Breng ketenafhankelijkheden in kaart, eis contractueel detectie, segmentatie en meldtermijnen, en houd een getest noodpakket achter de hand. “Vernietigde” gestolen data is niet verifieerbaar; de enige echte bescherming zit aan de voorkant.

PHP2Shell: kritieke PHP-lekken halen honderden Nederlandse websites offline (oktober 2026)

Wanneer

20-21 oktober

Aanval

Kritieke lekken in PHP

Dader

Geen bevestigde aanvaller

Geraakt

DigiD, MijnOverheid, honderden sites offline

Daders: geen aanval op één organisatie, maar twee kritieke kwetsbaarheden in PHP, de programmeertaal onder een groot deel van alle websites, waaronder WordPress en Drupal. Ze werden gevonden door onderzoekers van onder meer Wiz en OpenAI, met hulp van AI; volgens Wiz bestond de kwetsbare code al meer dan tien jaar. Aan het misbruik dat later werd vastgesteld, is geen dader gekoppeld; claims over Noord-Koreaanse en criminele groepen zijn niet onafhankelijk bevestigd.

Techniek: twee lekken met elk een CVSS-score van 9,2. CVE-2026-109618 maakt code-uitvoering mogelijk via een fout in de afhandeling van een geheugentekort, uit te lokken met gemanipuleerde uploads; CVE-2026-109619 via interne gegevens die na afloop van een verzoek blijven hangen (een use-after-free). Een aanvaller heeft geen inlog nodig en bij Apache mod_php werkt de aanval al voordat de applicatie zelf draait. PHP kondigde op 20 oktober een noodrelease aan, waarna CVE-nummers en details voortijdig uitlekten. De patches (8.2.35, 8.3.36, 8.4.27 en 8.5.12) verschenen op 21 oktober rond 16.00 uur Nederlandse tijd. Op 26 oktober zette het Amerikaanse CISA beide lekken op de lijst van actief misbruikte kwetsbaarheden (KEV). Een derde, verwant lek (CVE-2026-115560) is nog niet volledig verholpen; tot de reguliere release adviseert PHP de functie session upload progress uit te zetten.

Impact: het NCSC adviseerde direct te patchen en kwetsbare systemen tot die tijd offline te houden. Op 21 oktober gingen daarop onder meer DigiD en MijnOverheid, Overheid.nl, de websites van de Tweede Kamer, het NCSC en de Autoriteit Persoonsgegevens, de site en app van RTL, Tweakers, persbureau ANP, vergadersysteem Notubiz van ongeveer honderd gemeenten, systemen in het hoger onderwijs, ziekenhuizen als Maastricht UMC+ en het Jeroen Bosch Ziekenhuis, minstens 13 van de 25 veiligheidsregio’s, de meeste politieke partijen en een reeks sportbonden en clubs preventief offline. De meeste sites waren dezelfde avond terug, DigiD en MijnOverheid in de loop van de avond en de Tweede Kamer kort voor 22.00 uur; raadsinformatiesites lagen mogelijk tot 22 oktober plat. In Nederland is geen inbraak via deze lekken bevestigd en de AP ontving tot 22 oktober geen datalekmeldingen die ermee samenhangen. Wereldwijd telde Cloudflare miljoenen aanvalspogingen en legden onderzoekers op 24 oktober werkende shells vast op honeypots; een benoemd, bevestigd slachtoffer is er nog niet. Na de patch vond BNR bij een scan van ruim 900 gemeentelijke websites er meer dan 50 die mogelijk nog kwetsbaar waren. Minister Van Weel noemde de voorzorg verstandig maar ingrijpend en schreef de Kamer op 23 oktober dat de precieze maatschappelijke impact nog niet duidelijk is.Bron: NOS, NCSC en BleepingComputer

Les: een lek in een bouwsteen die overal zit, raakt iedereen tegelijk, ook organisaties die zichzelf niet als PHP-gebruiker zien. Wie op 21 oktober snel kon handelen, wist welke systemen PHP draaiden (ook bij leveranciers en hosters), wie mocht beslissen over uitschakelen en hoe lang de organisatie zonder website kon. Een actuele softwarelijst, een draaiboek voor preventief uitschakelen en een patchproces in uren in plaats van weken maken dan het verschil. En een patch maakt een eerdere inbraak niet ongedaan: controleer systemen die vóór de patch bereikbaar waren op webshells en onbekende accounts.

Datalek bij gemeente Epe (maart 2026)

Wanneer

maart

Aanval

Nep-captcha (ClickFix), datadiefstal

Dader

Onbekend

Geraakt

32.000 inwoners

Daders: onbekend. Er kwam geen losgeldeis en de data is tot nu toe niet op leksites aangetroffen. Het politieonderzoek loopt.

Techniek: een nep-captcha (ClickFix) liet een medewerker op 10 maart zelf een kwaadaardig commando uitvoeren. Daarna kraakten de aanvallers een beheerderswachtwoord, misbruikten een noodaccount zonder tweede factor en exporteerden op 12 maart de data naar externe cloudopslag. Een IT-dienstverlener zag de download en sloeg alarm. De accountant had jarenlang voor zwakke plekken gewaarschuwd.

Impact: volgens de evaluatie van de gemeente van juni circa 871 GB en ruim 550.000 bestanden (de gemeente sprak in april nog van 600.000). Daaronder een export van de basisregistratie met naam, adres, geslacht, geboortedatum en BSN van vrijwel alle 32.000 inwoners, medewerkersgegevens, financiële en contractgegevens en kopieën van 1.022 identiteitsbewijzen, waarvan 845 nog geldig waren en gratis werden vervangen. De kosten bedroegen tot juni 345.258 euro. DigiD-gegevens zaten er niet bij.Bron: evaluatie gemeente Epe

Les: een noodaccount zonder tweede factor is een voordeur zonder slot, hoe goed de rest ook is beveiligd. Daarnaast lag er een complete export van de basisregistratie op een bestandsserver die al zou worden uitgefaseerd. Inventariseer waar gevoelige exports staan, ruim ze op, en neem waarschuwingen van de accountant serieus voordat een incident ze bevestigt.

Cyberaanval op het ministerie van Financiën (maart 2026)

Wanneer

maart

Aanval

Zero-day bij leverancier

Dader

Geavanceerde actor

Geraakt

Beleidsdepartement, Mijn Schatkist

Daders: onbekend. Minister Heinen sprak van een “geavanceerde actor” wiens identiteit “zelden te achterhalen” is. Team High Tech Crime, het NCSC en de AP zijn betrokken.

Techniek: een zero-day in de software die toegang tot de digitale werkplek regelt, draaiend bij één externe leverancier. Ongeautoriseerde toegang werd op donderdag 19 maart gesignaleerd en op maandag 23 maart geblokkeerd; de leverancier dichtte het lek dezelfde dag. Naam van leverancier en product zijn niet publiek.

Impact: de primaire processen van het beleidsdepartement werden geblokkeerd, een deel van de ambtenaren kon niet werken en alle wachtwoorden werden gereset. Het portaal Mijn Schatkist ging uit voorzorg dicht, waardoor circa 1.600 publieke instellingen hun saldi niet digitaal konden inzien. Belastingdienst, Douane en Toeslagen bleven buiten schot. Gegevensdiefstal is “aannemelijk” maar niet te reconstrueren. Het ministerie publiceerde op 18 juni een terugblik.Bron: Rijksoverheid

Les: ook een onbekende kwetsbaarheid hoeft niet tot een ramp te leiden als werkplektoegang strikt gescheiden is van kernprocessen. De vier dagen tussen signalering en blokkade laten zien hoe belangrijk vooraf afgesproken escalatiecriteria zijn: wanneer trek je de stekker eruit, en wie beslist dat? Een leverancier die toegang tot je werkplek regelt, hoort in je eigen dreigingsbeeld.

Datalek bij Canvas/Instructure: Nederlandse universiteiten en hogescholen (mei 2026)

Wanneer

mei

Aanval

Lek in leerplatform

Dader

ShinyHunters

Geraakt

7 universiteiten

Daders: ShinyHunters, dezelfde groep als bij Odido en BCD Travel.

Techniek: een kwetsbaarheid in de supportticketfunctie van de gratis “Free for Teacher”-omgeving van leerplatform Canvas gaf vanaf 25 april toegang. Instructure verklaarde het incident op 6 mei opgelost, waarna de groep terugkeerde en in de nacht van 7 op 8 mei de loginpagina’s van circa 330 scholen wereldwijd verving door een losgeldboodschap, midden in de tentamenperiode. Het was de tweede ShinyHunters-inbraak bij Instructure in acht maanden.

Impact: Universiteiten van Nederland bevestigde zeven getroffen universiteiten: Tilburg, Maastricht, UvA, VU, Erasmus, TU/e en Twente. De daderlijst noemt 44 Nederlandse instellingen inclusief hogescholen en mbo; Windesheim ontkende. Buitgemaakt zijn namen, e-mailadressen, student- en medewerkersnummers en berichten tussen gebruikers. De wereldwijde daderclaim van 275 miljoen gebruikers en 3,65 TB is niet bevestigd. Instructure bereikte een akkoord met de daders en stelt dat de data is vernietigd; of en hoeveel losgeld is betaald, is niet bevestigd.Bron: UvA en Instructure

Les: een leveranciersincident treft in één klap een hele sector. Instellingen kunnen de leverancier niet patchen, maar wel vooraf regelen welke data ze er maximaal in zetten en hoe het onderwijs doorgaat zonder het platform. Een incident dat “opgelost” wordt verklaard zonder dat de toegangsroute begrepen is, is niet opgelost.

Datalekken bij de justitieketen via Ivanti EPMM (februari 2026)

Wanneer

februari

Aanval

Zero-days in Ivanti EPMM

Dader

Niet toegeschreven

Geraakt

AP, Rechtspraak, DJI

Daders: niet toegeschreven. De aanvallers wisten hun sporen.

Techniek: twee zero-days (CVE-2026-1281 en CVE-2026-1340, CVSS 9.8) in Ivanti Endpoint Manager Mobile, de software waarmee de Justitiële ICT Organisatie zakelijke telefoons en laptops beheert. Unit 42 telde wereldwijd ruim 4.400 instanties aan internet; het misbruik verliep grotendeels geautomatiseerd. Het NCSC was op 29 januari geïnformeerd en sloeg op 9 februari alarm.

Impact: werkgerelateerde gegevens van medewerkers (namen, zakelijke e-mail, telefoonnummers, apparaatcertificaten, mogelijk locatiegegevens) bij de Autoriteit Persoonsgegevens, de Raad voor de rechtspraak en de Dienst Justitiële Inrichtingen; bij DT&V, JIO, CBG en één gemeente zijn sporen gevonden of niet uit te sluiten. Bij DJI hadden de aanvallers minstens vijf maanden toegang. Het aantal medewerkers is niet bekendgemaakt; de staatssecretaris erkende een verhoogd chantagerisico voor gevangenispersoneel. Argos onthulde in maart dat JIO in 2025 ook al twee keer via Citrix was gehackt.Bron: Kamerbrief 27 februari en NOS

Les: beheersoftware voor mobiele apparaten staat per definitie aan het internet en heeft zicht op elke medewerker; zo’n systeem verdient dezelfde patch-urgentie en monitoring als een VPN of firewall. Vijf maanden onopgemerkte toegang wijst op ontbrekende detectie, niet alleen op een gemiste update.

Preventieve Citrix-uitschakeling bij ziekenhuizen en Rijksoverheid (september 2026)

Wanneer

september

Aanval

Kritieke Citrix-lekken

Dader

Niet toegeschreven

Geraakt

3 ziekenhuizen, Rijksoverheid

Daders: niet toegeschreven. CISA meldde wereldwijd actief misbruik; volgens Cybersecurity Dive liep de golf tegen overheden en vitale aanbieders al ruim een maand en wijst het patroon op spionage.

Techniek: Citrix publiceerde op zondag 27 september een bulletin over acht lekken in NetScaler, waarvan drie kritiek: onder meer CVE-2026-88771 (ongeauthenticeerde command injection, CVSS 9.5) en CVE-2026-88772 (geheugenoverloop bij DTLS, standaard aan op VPN-servers). NCSC en CISA adviseerden eerst een geheugendump en logs veilig te stellen en dan pas te patchen. Unit 42 telde 50.277 bereikbare instanties wereldwijd. Op 9 oktober volgde nog een kritiek NetScaler-lek (CVE-2026-107406), zonder bekend misbruik.

Impact: Amphia (Breda), Elisabeth-TweeSteden (Tilburg/Waalwijk) en Frisius MC (Leeuwarden) schakelden Citrix op advies van Z-CERT uit; de patiëntportalen gingen offline, de zorg ging door. De Rijksoverheid, waaronder BZK, koppelde Citrix los, waardoor ambtenaren een weekend niet konden thuiswerken. Of Nederlandse organisaties daadwerkelijk zijn gecompromitteerd, is niet gepubliceerd. Hoe zo’n lek kan doorwerken, liet op 8 oktober het rapport van de commissie-Smit zien over de Citrix-hack bij het Openbaar Ministerie in de zomer van 2025 (“Van ‘brand meester’ naar ‘brandveilig'”). Aanvallers misbruikten toen zero-day CVE-2025-6543 in Citrix NetScaler en plaatsten uiterlijk 19 juni 2025 een achterdeur; op 17 juli 2025 koppelde het OM zijn systemen los van internet. Op de NetScaler en de kantoorautomatisering draaide geen monitoring. De commissie wijt het niet aan één fout maar aan een verouderd ICT-landschap, te weinig capaciteit en jarenlang bekende achterstanden, en acht de feiten passend bij een inbraak door een partij die gelieerd is aan een statelijke actor. Het OM liep een achterstand van 9.000 zaken op.Bron: rapport commissie-Smit, NCSC-advisory en Dutch IT Channel

Les: toegangsgateways zijn structureel doelwit en vergen een eigen draaiboek: een inventaris van alle instanties, de mogelijkheid om binnen uren te patchen of los te koppelen zonder dat de organisatie stilvalt, centrale logging en een standaardprocedure voor forensisch onderzoek vóór de patch. Overweeg of alle externe toegang echt via één apparaat moet lopen.

FortiBleed: gecompromitteerde Fortinet-firewalls bij Nederlandse organisaties (juni 2026)

Wanneer

juni

Aanval

Gestolen firewall-inloggegevens

Dader

Onbekend

Geraakt

279 organisaties

Daders: onbekende cybercriminelen; de gegevens circuleerden via infostealer-kanalen. Britse bronnen noemen een Russische gelieerdheid, maar dat is niet bevestigd.

Techniek: volgens Fortinet geen lek bij de fabrikant zelf: inloggegevens van partners via het partnerportaal, brute force en hergebruikte of eerder gelekte beheerderswachtwoorden op internet-bereikbare firewalls en SSL-VPN’s. Eenmaal binnen maakten de aanvallers eigen beheerdersaccounts, SSH- en RDP-regels en IPsec-tunnels aan en installeerden ze malware die verkeer en inloggegevens aftapt.

Impact: 73.932 apparaten wereldwijd volgens de gelekte dataset, in andere berichtgeving afgerond naar circa 75.000. In Nederland minstens 279 getroffen organisaties, bij 136 daarvan met nog actieve beheerdersrechten van de aanvallers (Secutec/SOCRadar); CloudSEK kwam op circa 300 Nederlandse firewalls. Slachtoffers waren lokale overheden, scholen, advocatenkantoren, telecombedrijven en IT-dienstverleners; namen zijn niet gepubliceerd. Op geen van de onderzochte firewalls stond MFA aan, 85 procent draaide verouderde firmware en op de helft waren eigen accounts aangemaakt. Het NCSC informeerde getroffen organisaties op 20 juni.Bron: Dutch IT Channel

Les: de firewall is zelf een computer met een beheerinterface. Zonder tweede factor op beheerlogins en zonder actuele firmware is het apparaat dat het netwerk moet beschermen de makkelijkste ingang. Na een compromittering is een wachtwoordwissel niet genoeg; reken op herinstallatie en controleer op toegevoegde accounts en tunnels.

Datalek bij CEVA Logistics: Bol, de Bijenkorf, ING, Ace & Tate en Ajax (augustus 2026)

Wanneer

augustus

Aanval

Inbraak bij logistiek partner

Dader

Onbekend

Geraakt

Klanten Bol, de Bijenkorf, ING

Daders: niet bekendgemaakt; er is geen losgeldeis bekend. RTL meldde dat een CEVA-database op het darkweb te koop stond; volgens CEVA bevat die dataset gegevens uit 2025 en komt hij niet uit dit incident.

Techniek: tussen 29 juli en 1 augustus brak iemand in op twee systemen van één Nederlands distributiecentrum van de logistiek dienstverlener die voor webwinkels orders verpakt en verzendt. Volgens vakblad Warehouse Totaal waren minstens acht Europese distributiecentra geraakt. De eigen systemen van de webwinkels bleven buiten schot.

Impact: geen van de partijen noemde aantallen; het distributiecentrum verwerkt tot honderdduizenden pakketten per dag. Mogelijk ingezien: naam, adres, e-mail, telefoon, bestelnummers, track-and-trace, productinformatie, betaalmethode en btw-nummers; geen betaalgegevens of wachtwoorden. Bol werd op 1 augustus geïnformeerd en mailde klanten op 5 augustus; ING, Ace & Tate en Ajax volgden op 7 en 8 augustus. De Bijenkorf leverde pas vanaf 4 september weer, en op 20 augustus meldde CEVA dat ook gegevens van eigen (ex-)personeel waren geraakt.Bron: NOS

Les: je bent zo veilig als je fulfilmentpartner. In de keten horen afspraken over segmentatie per klant, minimale datavelden op pakbonnen en een meldtermijn in uren. Vier dagen tussen de melding van de partner en de klantmail is lang in een tijd waarin criminelen diezelfde dag al phishen.

Datalek bij Basic-Fit (april 2026)

Wanneer

april

Aanval

Datadiefstal

Dader

Onbekend

Geraakt

200.000 leden in Nederland

Daders: onbekend. Geen claim, geen losgeldeis en geen publicatie op het darkweb gemeld.

Techniek: ongeautoriseerde toegang tot het centrale systeem dat clubbezoeken registreert. De eigen monitoring merkte de toegang op en stopte die “binnen enkele minuten”, maar in die tijd was al data gedownload. De toegangsroute is niet bekendgemaakt. Franchisevestigingen draaien op een apart systeem en waren niet geraakt.

Impact: circa 200.000 leden in Nederland volgens het persbericht en NOS; circa 1 miljoen leden in zes landen (Nederland, België, Luxemburg, Frankrijk, Spanje, Duitsland) volgens een woordvoerder tegen Reuters en BleepingComputer. Gelekt: lidmaatschapsgegevens inclusief betaalstatus en recent clubbezoek, naam, adres, e-mail, telefoon, geboortedatum en bankrekeninggegevens; wachtwoorden en identiteitsdocumenten niet.Bron: NOS en BleepingComputer

Les: snelle detectie is waardevol, maar “binnen minuten gestopt” was niet genoeg: een aanvaller met toegang tot een centraal klantsysteem exporteert in enkele minuten honderdduizenden records. Rem bulkexport van persoonsgegevens technisch af, segmenteer per land en bewaar bankgegevens en bezoekgeschiedenis niet onnodig centraal. Transparantie over de toegangsroute helpt de hele sector.

Datalek en klantafpersing bij Flink (september 2026)

Wanneer

september

Aanval

Gestolen inlog, afpersing klanten

Dader

LPG Group

Geraakt

Klanten en medewerkers

Daders: LPG Group, volgens RTL een pas opgericht collectief dat sinds september actief is.

Techniek: toegang tot een intern systeem via gestolen inloggegevens van een (oud-)medewerker, volgens Flink; dat is niet onafhankelijk bevestigd. Daarna “triple extortion”: een losgeldeis aan Flink van 100 ether (circa 238.000 euro) én persoonlijke mails aan klanten en medewerkers met een eis van 0,005 ether (circa 10 euro) per persoon, met 2 oktober als deadline.

Impact: volgens Flink zijn namen, e-mailadressen, adressen, telefoonnummers en bij een deel bezorginformatie buitgemaakt; geen wachtwoorden of betaalgegevens. De daders claimen ruim 1 miljoen klanten en 10.000 tot 13.000 medewerkers, wat niet is bevestigd. Minstens 10.000 Nederlandse klanten ontvingen een afpersmail (RTL). Op de deadline had, controleerbaar via de blockchain, geen enkele klant betaald. Flink deed aangifte en meldde bij de AP en de Duitse toezichthouder. Na het verlopen ultimatum bood de groep de dataset volgens RTL Nieuws op 6 oktober op het darkweb te koop aan; openbare publicatie is niet bevestigd.Bron: NL Times

Les: afpersers richten zich nu rechtstreeks op de klanten van een slachtoffer, met kleine bedragen en een persoonlijke aanhef. Dat vraagt om snelle, duidelijke communicatie: wat is gelekt, wat niet, en waarom betalen zinloos is. Gestolen inloggegevens zijn de standaardingang geworden; een tweede factor op elk intern systeem is basishygiëne.

Datalekken in de hotelketen: Booking.com, Bastion Hotels en ruim 100 hotels (maart tot en met juni 2026)

Wanneer

maart tot juni

Aanval

Phishing via boekingssystemen

Dader

Onder meer Storm-1865

Geraakt

Ruim 100 hotels

Daders: onbekend. Microsoft koppelt de Booking.com-zaak aan de groep Storm-1865. Voor de bredere golf wijst de Luxemburgse CERT op een hotelsoftwareplatform; de genoemde leverancier ontkent.

Techniek: bij Bastion Hotels klikte een medewerker op 10 maart op een phishinglink en vulde gegevens in op een nep-reserveringssite. Booking.com sprak in april van een “gerichte aanval” met toegang tot reserveringsgegevens, vermoedelijk via gecompromitteerde hotelpartners. Bij BWH Hotels had iemand van 14 oktober 2025 tot 22 april 2026 toegang tot de reserveringsapplicatie. De buit (naam, telefoon, verblijfsdata) wordt gebruikt voor WhatsApp- en sms-berichten die om “bevestiging” of betaling van een echte reservering vragen.

Impact: Bastion: circa 6.000 gasten van zeven hotels inclusief de laatste vier cijfers van de creditcard, volgens media; Bastion zelf bevestigde dat aantal niet. Booking.com: aantal niet bekendgemaakt; naam, e-mail, adres, telefoon, boekingsdetails en notities, geen betaalgegevens. Sectorbreed: meer dan 100 Nederlandse hotels en 178 meldingen bij KHN, circa 6 procent van de sector; Belgische gasten verloren duizenden euro’s. De AP onderzoekt.Bron: KHN en NOS

Les: een reservering is op zichzelf geen geheim, maar in combinatie met naam en datum is het een perfect phishinglokaas. Ketens met veel tussenpartijen moeten afspreken wie gasten waarschuwt en via welk kanaal, zodat een echt bericht herkenbaar blijft. Voor consumenten: betaalverzoeken via chat nooit volgen, altijd zelf het hotel bellen.

Datalek bij Eurail (januari/februari 2026)

Wanneer

januari

Aanval

Netwerkinbraak, datadiefstal

Dader

Onbekend

Geraakt

308.777 reizigers

Daders: een onbekende actor die de data via een hackforum te koop aanbood, met een sample op Telegram.

Techniek: inbraak op het netwerk van Eurail B.V. in Utrecht en diefstal van klantendatabases, met exfiltratie op 26 december 2025. De daders claimen circa 1,3 TB uit cloudopslag, supportsysteem en code-omgeving; dat is niet bevestigd. Eurail meldde het lek op 12 januari; de omvang werd op 25 februari bekend.

Impact: 308.777 betrokkenen volgens Eurail: bestel- en reserveringsgegevens, contactgegevens en in veel gevallen paspoortnummers en vervaldata; bij DiscoverEU-deelnemers ook paspoortkopieën. Eurail stelt dat bank- en creditcardgegevens niet worden opgeslagen; berichten dat ook IBAN’s zijn gelekt, zijn niet door Eurail bevestigd. Reizigers moesten op eigen kosten hun paspoort vervangen.Bron: BleepingComputer

Les: reisorganisaties bewaren identiteitsdocumenten vaak langer en breder dan nodig. Wie paspoortnummers alleen opslaat omdat een formulier erom vraagt, draagt het volledige risico zonder dat de dienst er beter van wordt. Dataminimalisatie en korte bewaartermijnen beperken de schade van een inbraak meer dan welke firewall ook.

DDoS-aanvallen op DigiD (maart en juli 2026)

Wanneer

maart en juli

Aanval

DDoS

Dader

Onbekend

Geraakt

DigiD, MijnOverheid

Daders: onbekend; er is geen bevestigde claim. Pro-Russische DDoS-golven op Nederlandse overheden zijn voor 2026 niet bevestigd.

Techniek: terugkerende DDoS-aanvallen met volgens Logius “grillige, moeilijk herkenbare patronen”. Logius verwerkt circa 200 DDoS-aanvallen per maand; sinds januari 2025 leidden er vijf tot een uur of meer uitval.

Impact: op 23 maart, de eerste volledige werkdag van de belastingaangifte, was DigiD vanaf 11.00 uur circa twee uur niet beschikbaar; ook DigiD Machtigen, BSNk, Digipoort en MijnOverheid waren geraakt en de Belastingdienst ontving duizenden klachten. Op 9 en 10 juli was DigiD opnieuw slecht bereikbaar. In een Kamerbrief van 8 oktober schreef de staatssecretaris dat DigiD dit jaar vaker doelwit is dan voorheen.Bron: Binnenlands Bestuur

Les: één inlogvoorziening voor de hele overheid is een concentratierisico: twee uur uitval op de drukste dag van het jaar raakt miljoenen burgers. Overheden moeten piekmomenten vooraf als verhoogd risico behandelen, DDoS-capaciteit daarop dimensioneren en een terugvaloptie hebben voor burgers die op dat moment niet kunnen inloggen.

Cyberaanval op Shell en Philips door Clop (augustus 2026)

Wanneer

augustus

Aanval

Massale exploitatie zero-day

Dader

Clop

Geraakt

Shell, Philips

Daders: Clop, een Russischtalige afpersingsgroep die bekendstaat om massale exploitatie van één lek in veelgebruikte bedrijfssoftware.

Techniek: massale exploitatie van CVE-2026-12569 (CVSS 9,3 tot 9,8), een ongeauthenticeerde code-executie in de engineeringsoftware PTC Windchill en FlexPLM, die al in juni als zero-day werd misbruikt en waarvoor sinds 17 juni patches bestaan. Geen versleuteling, alleen datadiefstal en dreiging tot publicatie.

Impact: 43 tot bijna 50 slachtoffers wereldwijd, waaronder General Electric en Fiserv. Philips verscheen op 5 augustus (volgens leaksite-monitoring) of 13 en 14 augustus (volgens de meeste media) op de leaksite, Shell op 14 augustus. De groep claimt 89 GB van Shell (tekeningen, testrapporten, projectplannen) en 13,5 tot 15,5 GB van Philips. Shell meldde dat geen gevoelige persoonsgegevens zijn geraakt en er geen operationele gevolgen waren; Philips sprak van een ingedamde poging op één bedrijfsserver. De daderclaims zijn niet onafhankelijk bevestigd. Eind oktober zette Clop de gestolen bestanden van beide bedrijven online.Bron: NOS

Les: engineering- en productdatasystemen staan vaker aan het internet dan de meeste organisaties denken en bevatten het intellectueel eigendom van het bedrijf. Een inventaris van alle internet-gerichte applicaties, niet alleen de standaard-IT, en een patchtermijn van dagen voor kritieke lekken zijn de enige verdediging tegen dit type campagne.

Datalek bij BCD Travel (mei/juni 2026)

Wanneer

mei

Aanval

Gecompromitteerd account

Dader

ShinyHunters

Geraakt

396.313 e-mailadressen

Daders: ShinyHunters.

Techniek: een gecompromitteerd intern account gaf in mei toegang tot de klantrelatieomgeving en de bedrijfs-SharePoint van het Utrechtse zakenreisbureau. De groep zette BCD op 29 mei op zijn leaksite met een ultimatum tot 1 juni; BCD weigerde te betalen, waarna op 5 en 6 juni 30 GB werd gepubliceerd. De dataset werd in juli opnieuw doorverkocht.

Impact: de daders claimen meer dan 700.000 records. Have I Been Pwned verifieerde 396.313 unieke e-mailadressen met namen, adressen, telefoonnummers, functietitels en supporttickets; 28 procent van de adressen was al uit eerdere lekken bekend. Financiële gegevens zijn niet bevestigd en de dienstverlening werd niet verstoord. BCD erkende verdachte activiteit op een intern account, maar bevestigde de omvang niet.Bron: Have I Been Pwned

Les: zakelijke reisdata vertellen wie wanneer waar is, en zijn daarmee goud voor gerichte fraude op bedrijven. Klantrelatieomgevingen in de cloud zijn geen randsystemen; ze verdienen conditionele toegang en alarmering op bulkexports. Niet betalen was hier de juiste keuze, maar dan moet de communicatie naar klanten wel sneller zijn dan de publicatie.

Datalek bij Polarsteps (september 2026)

Wanneer

september

Aanval

Onbeveiligde API

Dader

Geen aanvaller bekend

Geraakt

23 miljoen gebruikers

Daders: geen aanvaller bekend. Het probleem werd aangetoond door Follow the Money en een Franse onderzoeker, die het al in december 2025 had gemeld.

Techniek: een onvoldoende beveiligde programmeerinterface zonder verzoeklimiet, captcha of login: iedereen kon namen, foto’s, GPS-punten en volgersrelaties ophalen, ook van reizen die op privé stonden. Thuisadressen waren afleidbaar uit foto-locaties, en dat foto’s locatiedata bevatten stond niet in het privacybeleid. Het lek bestond minstens zes maanden.

Impact: 23 miljoen gebruikers; circa 230 miljoen foto’s en video’s, circa 1 miljard GPS-punten en bijna 2 miljoen reizen waren opvraagbaar. Tientallen Nederlandse militairen waren tot op hun basis te volgen, net als Belgische militairen; Defensie blokkeerde de app. Polarsteps betwist formeel de kwalificatie “datalek”, maar scherpte de toegang aan, maakte geheime links ongeldig en zette profielen op privé. Het bedrijf is in contact met de AP; de CEO erkende dat het bedrijf dit zelf had moeten zien.Bron: DutchNews

Les: een app die locaties verzamelt is een inlichtingenbron, ook zonder inbraak. Elke programmeerinterface die zonder inloggen data teruggeeft moet worden behandeld als publiek, met harde limieten op volume. Privacy-instellingen aan de voorkant zijn waardeloos als de achterkant ze niet afdwingt, en metadata in foto’s hoort gestript te worden voordat iets wordt opgeslagen.

Datalek bij Ajax (maart 2026)

Wanneer

maart

Aanval

Lekken in app en tickets

Dader

Man uit Buren, aangehouden

Geraakt

Fans en seizoenkaarten

Daders: een 35-jarige man uit de gemeente Buren, op 26 mei aangehouden op verdenking van computervredebreuk. Volgens NOS gaat het niet om een ethische hack: hij tipte een journalist, niet de club. Over een zitting is niets bekend.

Techniek: kwetsbaarheden in de app en de ticketsystemen van de club. Het was mogelijk om seizoenkaarten naar andere accounts over te zetten (RTL nam ter demonstratie de kaart van directeur Geelen over) en stadionverboden in te zien, aan te passen of op te heffen. Ajax publiceerde op 25 maart na onthulling door RTL Nieuws.

Impact: hier lopen de cijfers sterk uiteen. RTL beschrijft wat mogelijk was: gegevens van ruim 300.000 fans inzichtelijk, ruim 42.000 seizoenkaarten te stelen en 538 stadionverboden zichtbaar en op te heffen. Ajax beschrijft wat aantoonbaar is ingezien: bij een paar honderd mensen alleen het e-mailadres, bij minder dan twintig mensen met een stadionverbod naam, e-mail en geboortedatum, en bij circa 400 kaarthouders voor drie wedstrijden naam, e-mail, stoel en barcode. In augustus werden Ajax-webshopklanten opnieuw geraakt, via CEVA.Bron: Ajax en politie

Les: fan- en ticketplatformen zijn volwaardige doelwitten, hier zelfs met een lijst stadionverboden die bruikbaar is voor chantage. Autorisatie moet serverzijdig per object worden afgedwongen, zodat een gebruiker nooit andermans kaart kan opvragen of wijzigen, en zulke systemen horen periodiek extern getest te worden. Een duidelijk meldpunt voor kwetsbaarheden zorgt dat een vinder bij de organisatie uitkomt en niet bij de pers.

Datalek bij Rituals (april 2026)

Wanneer

april

Aanval

Onrechtmatige download

Dader

Onbekend

Geraakt

Leden My Rituals

Daders: onbekend; geen claim en geen losgeldeis. De “verjaardagscadeau”-scam uit naam van Rituals staat volgens het bedrijf los van dit incident.

Techniek: niet bekendgemaakt. Rituals sprak op 22 april van een “onrechtmatige download” van gegevens uit het loyaliteitsprogramma My Rituals; de toegang werd direct geblokkeerd.

Impact: het aantal is niet bekendgemaakt; topman Cloosterman sprak tegen ANP van “een behoorlijk aantal” en van een groot aantal klanten in Europa. My Rituals telt ruim 41 miljoen deelnemers wereldwijd; getroffen accounts zitten in Nederland, andere Europese landen en het Verenigd Koninkrijk. Gelekt: naam, adres, e-mail, telefoon, geboortedatum en geslacht; geen wachtwoorden of betaalgegevens. Een AP-melding is gedaan; publicatie van de data is niet bekend en vervolgupdates ontbreken.Bron: NOS

Les: loyaliteitsprogramma’s zijn grote, vaak internationale databases met precies de gegevens die phishing en identiteitsfraude geloofwaardig maken. Behandel ze als kroonjuwelen: alleen opslaan wat nodig is, strikte toegangscontrole en monitoring op afwijkende export, en een voorbereid draaiboek voor klantcommunicatie. Zonder vervolgcommunicatie blijft voor klanten onduidelijk wat er misging en of het is opgelost.

Russische spionage via gehackte camera’s langs militaire transportroutes (juli 2026)

Wanneer

juli

Aanval

Gehackte IP-camera’s

Dader

Russische inlichtingendiensten

Geraakt

Militaire transportroutes

Daders: Russische inlichtingendiensten, aldus de toeschrijving van AIVD en MIVD op 10 juli. De Russische ambassadeur werd ontboden.

Techniek: internetscanning op blootgestelde IP-camera’s van particulieren en bedrijven, met misbruik van standaardwachtwoorden, verouderde firmware en standaardconfiguraties. Het doel was wapentransporten naar Oekraïne te volgen; ook andere NAVO-landen waren geraakt.

Impact: een “klein aantal” camera’s; de routes zijn niet vrijgegeven. Eigenaren langs de routes zijn gewaarschuwd.Bron: Defensie

Les: elk apparaat met een internetverbinding is een sensor voor wie hem overneemt, en een camera aan een bedrijfspand kan onbedoeld een militaire inlichtingenbron zijn. Standaardwachtwoorden wijzigen, firmware bijhouden, camera’s niet rechtstreeks aan internet hangen en weten welke apparaten je überhaupt hebt: de basisregels gelden ook voor de “domme” apparaten in de hoek van het netwerk.

Cyberaanval op DIVD door een autonome AI-agent (september 2026)

Wanneer

september

Aanval

Zero-days, autonome AI-agent

Dader

Onbekend

Geraakt

DIVD

Daders: onbekend. Volgens DIVD, het Nederlandse instituut dat zelf kwetsbaarheden opspoort en meldt, is de aanval uitgevoerd door een autonome AI-agent.

Techniek: twee zero-days in het helpdesksysteem Zammad: CVE-2026-102489 (sessiekaping en code-executie) en CVE-2026-102490 (escalatie naar root). De agent brak op 21 september in, liet verklarende notities achter in zijn eigen scripts en verstoorde zichzelf met password spraying. Netwerksegmentatie beperkte de schade. DIVD ontdekte de inbraak op 24 september en maakte die op 1 oktober zelf openbaar.

Impact: welke data is benaderd, is nog niet vastgesteld. DIVD adviseert Zammad-gebruikers te upgraden naar versie 7 of het systeem offline te halen.Bron: BleepingComputer

Les: de kostprijs van een competente aanval is ingestort; die van verdediging niet. Verwacht dat elk internetgericht systeem binnen uren na een advisory, of zoals hier nog ervoor, geautomatiseerd wordt aangevallen, ongeacht hoe oninteressant je organisatie zichzelf vindt. Basishygiëne (geen beheerinterfaces aan het internet, tweede factor overal, snelle patching, segmentatie) wint het nog steeds van autonome agents: hier beperkte segmentatie de schade.

Datalek bij DA (september 2026)

Wanneer

september

Aanval

Datadiefstal webshop

Dader

Onbekend

Geraakt

236.000 klanten

Daders: onbekend.

Techniek: onbevoegde toegang op 4 september tot een klantendatabase van de webshop, die op een externe server stond. In dezelfde periode meldden Leef.nl (toegang eveneens 4 september, externe klantendatabase), ROBBshop.nl en Voordeeluitjes.nl vergelijkbare lekken; of ze dezelfde dienstverlener delen, is niet bevestigd.

Impact: circa 236.000 webshopklanten: naam, adres, telefoon, geboortedatum, e-mail, IP-adres en bestelinformatie; geen wachtwoorden of betaalgegevens. DA kan niet vaststellen of het bestand daadwerkelijk is gedownload. Winkelklanten zijn niet geraakt. Klanten werden volgens de ene bron medio september en volgens de andere op 29 september geïnformeerd; de AP is ingelicht.Bron: NOS

Les: een klantendatabase bij een externe partij blijft de verantwoordelijkheid van het merk op de gevel. Vraag leveranciers naar logging die achteraf kan aantonen of data is weggehaald; “we kunnen het niet uitsluiten” betekent voor klanten dat ze van het ergste moeten uitgaan.

Datalek bij Secureholiday (juli 2026, inbraak februari)

Wanneer

februari, gemeld juli

Aanval

Toegang via derde partij

Dader

Onbekend

Geraakt

41.577 kampeerders

Daders: onbekend.

Techniek: toegang via het systeem van een derde partij bij de Franse campingboekingssite Secureholiday (moederbedrijf Ctoutvert), ontdekt op 28 februari en volgens het bedrijf dezelfde dag gedicht. In mei en juni ontvingen gasten phishingmails uit naam van hun camping, met echte boekingsdetails. Het lek werd pas op 15 en 16 juli publiek, via EenVandaag.

Impact: 41.577 Nederlandse kampeerders volgens de meeste bronnen (sommige spreken van reserveringen): naam, bestemming, e-mail, boekingsgegevens en betaald bedrag. In totaal ging het om bijna 42.000 reserveringen bij circa 500 campings in Frankrijk, Spanje en Italië. Er kwamen 14 officiële fraudemeldingen, waarvan 6 Nederlandse. Veel gasten werden pas gewaarschuwd nadat ze zelf argwaan kregen.Bron: NL Times

Les: een lek is pas afgehandeld als de betrokkenen op tijd weten waar ze op moeten letten. Hier zat er vier maanden tussen ontdekking en waarschuwing, precies de periode waarin de data werd misbruikt. Snel en concreet communiceren beperkt de vervolgschade meer dan de technische fix zelf.

Opsporing en toezicht

Terugslaan: aanhoudingen en ontmantelingen in 2026

Tegenover alle lekken staat een jaar waarin Nederlandse opsporingsdiensten opvallend vaak de infrastructuur van criminelen uit de lucht haalden. Een overzicht van de belangrijkste acties, aanhoudingen en uitspraken.

Servers achter pro-Russische DDoS-aanvallen (mei). Op 22 mei maakte de FIOD bekend dat twee mannen van 57 en 39 waren aangehouden voor overtreding van de Sanctiewet. Bij invallen in Dronten, Schiphol-Rijk, Enschede en Almere gingen meer dan 800 servers in beslag. Journalisten koppelen de zaak aan Stark Industries, het Enschedese WorkTitans en MIRhosting, en de infrastructuur aan pro-Russische DDoS-aanvallen; de FIOD noemde zelf geen bedrijfsnamen en MIRhosting ontkent. WorkTitans ging op 19 juni op eigen verzoek failliet.Bron: NL Times en KrebsOnSecurity

First VPN (mei). Onder leiding van Frankrijk en Nederland haalden achttien landen op 21 mei de criminele VPN-dienst First VPN offline en ontmantelden 33 servers. De politie las mee met het verkeer en liet gebruikers weten dat ze in beeld zijn; volgens Eurojust gebruikten ransomwaregroepen de dienst.Bron: OM

Botnet van 17 miljoen apparaten (mei). Op tip van een NCSC-onderzoeker namen politie en NCSC eind mei circa 200 servers bij een Nederlandse hostingprovider in beslag en legden zo een botnet van minstens 17 miljoen besmette computers, telefoons, routers en IoT-apparaten stil.Bron: Help Net Security

SocGholish (juni). Onder Nederlandse leiding en als onderdeel van Operation Endgame gingen tussen 15 en 19 juni 106 servers en domeinen van het malwarenetwerk SocGholish (FakeUpdates) offline. De politie schoonde met haar hackbevoegdheid 14.971 besmette WordPress-sites op; inloggegevens van tot 1,4 miljoen WordPress-sites bleken gelekt. Beheerders kregen meldingen via onder meer Have I Been Pwned, DIVD en het NCSC.Bron: politie

Proxydienst en bulletproof hoster (oktober). Half oktober haalde Team Cybercrime Noord-Holland samen met Shadowserver de servers offline van een proxydienst die draaide op bijna 178.000 besmette apparaten, waarvan honderden in Nederland. Op 28 oktober volgde de inbeslagname van circa 50 servers van een bulletproof hoster in Limburg, gebruikt voor kindermisbruikmateriaal, cyberaanvallen en phishing; de politie heeft gegevens van ruim 3.000 klanten.Bron: Dutch IT Channel en DutchNews

Aanhoudingen. Op 15 september werd een 24-jarige Amsterdammer aangehouden in het onderzoek naar ShinyHunters, de groep achter Odido, Canvas en BCD Travel; de politie benadrukt dat hij niet is aangehouden in het onderzoek naar de Odido-hack. Verder werden onder meer een 21-jarige uit Dordrecht aangehouden voor het verspreiden van de JokerOTP-bot, die eenmalige inlogcodes onderschepte (februari), acht verdachten van bankhelpdesk- en cryptofraude met ruim 1,7 miljoen euro schade (maart) en twee verdachten van een nieuwe vorm van bankhelpdeskfraude in Rotterdam met ongeveer 170 slachtoffers (oktober). Opvallend in het najaar: insiders. Een politiemedewerker uit de eenheid Den Haag werd eind oktober aangehouden op verdenking van het tegen betaling delen van informatie uit politiesystemen.Bron: NOS en OM

Vonnissen. De rechtbank Rotterdam legde in maart celstraffen van drie tot zeven jaar op aan een bankhelpdesk- en phishingorganisatie. In oktober kreeg een oud-politievrijwilliger uit Hattem twaalf maanden cel, waarvan drie voorwaardelijk, voor het opzoeken en lekken van informatie uit politiesystemen en meineed, en werd een militair van de Koninklijke Marechaussee veroordeeld omdat hij ruim vijf jaar zonder bevoegdheid politiesystemen raadpleegde.Bron: Rechtspraak

Toezicht: boetes en nieuw handhavingsbeleid van de AP. In februari kregen tien gemeenten, waaronder Delft, Eindhoven en Tilburg, elk 25.000 euro boete plus een verwerkingsverbod voor heimelijke “krachtenveldanalyses” van islamitische inwoners. Taxi-app Yango (MLU B.V.) kreeg 100 miljoen euro voor het doorgeven van chauffeurs- en klantgegevens uit Noorwegen en Finland naar Rusland. Uber kreeg in augustus 824,99 miljoen euro voor het volledig geautomatiseerd deactiveren van chauffeursaccounts: de hoogste AVG-boete ooit in Nederland en de op één na hoogste in Europa, na de 1,2 miljard voor Meta in 2023. Uber en Yango vechten de besluiten aan. Sinds 1 september is de AP verplicht elke sanctie te publiceren, en op 30 oktober verscheen in de Staatscourant het nieuwe handhavingsbeleid: een formele schikkingsroute die de boete tot 35 procent kan verlagen, een centrale rol voor de functionaris gegevensbescherming en de mogelijkheid om mee te wegen of een organisatie diens waarschuwingen negeerde. Ook leidinggevenden kunnen persoonlijk worden beboet.Bron: EDPB en Binnenlands Bestuur

Voor organisaties betekent dit twee dingen. Infrastructuur die uw medewerkers en klanten aanvalt, staat vaker dan gedacht in Nederland, en een melding of aangifte heeft zin: veel van deze acties begonnen met een tip. En wie persoonsgegevens verwerkt, moet per verwerking kunnen uitleggen op welke grondslag en met welke menselijke controle; sinds dit jaar is elke sanctie openbaar en kan ook de bestuurder zelf worden aangesproken.

Alle incidenten

Tijdlijn 2026: alle bevestigde incidenten per maand

De maand is die van de eerste publieke bekendmaking; de inbraakdatum staat erbij als die bekend is en afwijkt. Alleen incidenten die door de organisatie zelf, een verantwoordelijke bewindspersoon of een overheidsdienst zijn bevestigd, staan in deze lijst. Aanhoudingen, ontmantelingen en vonnissen staan erbij met de sector “Opsporing”; die tellen we niet mee als incident. Onbevestigde leaksite-claims (ruim vijftig tot en met 11 november) staan er bewust niet in.

Januari 2026

1. 05-01 en 26-01

   Universiteit Leiden Onderwijs

   Personeelsgegevens inclusief huisadressen zichtbaar voor alle medewerkers na migratie naar nieuw administratiesysteem; op 26 januari opnieuw voor te veel leidinggevenden Bron: datalekt.nl

2. 06-01

   Drie middelbare scholen in Zeeuws-Vlaanderen Onderwijs

   Twee leerlingaccounts misbruikt voor phishing, twaalf extra accounts met gelekte wachtwoorden Bron: datalekt.nl

3. 07-01 (ontdekt), 05-02 (publicatie)

   Veenkoloniaal Museum, Veendam Cultuur

   LockBit 5.0 versleutelde administratie en collectiefoto’s; museum weigerde te betalen, circa 25 GB personeels- en vrijwilligersdata gepubliceerd, herstel via offsite back-up Bron: Dutch IT Channel

4. 10-01

   Thermae 2000 (Limburg) Recreatie

   Gasten kregen WhatsApp-phishing met echte reserveringsgegevens; omvang onbekend Bron: datalekt.nl

5. 12-01 (melding), 25-02 (omvang); exfiltratie 26-12-2025

   Eurail B.V. / Interrail (Utrecht) Reizen

   308.777 personen, inclusief paspoortnummers; data te koop op hackforum (zie top 25) Bron: BleepingComputer

6. 19-01 (ontdekt), 29-01 (bekend)

   Gemeente Den Haag, scholingsfonds Haaglanden Leert Door (leverancier Heel Nederland Leert) Overheid

   Ketenaanval via leverancier; circa 1.200 personen (Den Haag, Delft, Rijswijk): NAW, BSN, loonstroken, geüploade pdf’s Bron: Welingelichte Kringen

7. 27/29-01

   Medrie (huisartsenorganisatie Zwolle, Flevoland, Hardenberg) Zorg

   Mailbox van kantoormedewerker enkele dagen overgenomen; 2.283 patiënten: BSN, naam, adres Bron: Medrie

Februari 2026

1. 03-02 en 08-02

   Verzorgingshuis De Wever (Tilburg) en zorglocatie Bronlaak, via mondzorgleverancier NoviaCura Zorg

   Oude dossierkopie op leverancierserver toegankelijk: BSN, geboortedatum, tandheelkundige gegevens 2014 tot 2023; circa 2.500 cliënten op 15 locaties (ccinfo) of circa 200 bewoners op 12 locaties (Omroep Brabant) Bron: Omroep Brabant

2. 07/08-02 (ontdekt), 12-02 (bekend)

   Odido (incl. Ben) Telecom

   ShinyHunters; 6,2 miljoen accounts, data gepubliceerd (zie top 25) Bron: NOS

3. 06-02 (Kamerbrief), 27-02 (DJI)

   Justitieketen via Ivanti EPMM: AP, Raad voor de rechtspraak, DJI Overheid

   Zero-days; medewerkersgegevens gelekt (zie top 25) Bron: Tweede Kamer

4. 08-02 (incident), 11-02 (phishing)

   OTYS (recruitmentsoftware) IT/leveranciers

   Misbruik uploadfunctie; phishing verzonden vanuit het OTYS-systeem; kandidaatgegevens deels in te zien; omvang onbekend Bron: datalekt.nl

5. 10-02

   JokerOTP (Dordrecht) Opsporing

   21-jarige aangehouden, verdacht van het verspreiden van een bot waarmee eenmalige inlogcodes werden onderschept (zie Terugslaan) Bron: politie

6. 13-02

   Politie (Ridderkerk) Overheid

   Door een vergissing van de politie kreeg een 40-jarige man vertrouwelijke politiebestanden in handen; hij weigerde die terug te geven en werd aangehouden voor computervredebreuk; geen aanwijzing voor verdere verspreiding Bron: politie

7. 13-02

   De Groote Weiver (cultuurcentrum Krommenie) Cultuur

   Beheerdersinlog misbruikt, twee accounts met verhoogde rechten aangemaakt; mogelijk datalek, omvang onbekend Bron: datalekt.nl

8. 17-02

   Scholengemeenschap Bonaire Onderwijs

   Ransomware op archief-dataserver, archiefbestanden gestolen; onderwijs en cloudsystemen niet geraakt; KPCN en Europol betrokken Bron: BES Reporter

9. 19-02

   RTL Nederland (via intranet voormalig moederbedrijf RTL Group) Media

   Forumclaim 27.000 medewerkers wereldwijd; Nederland: 250 tot 300 verouderde e-mailadressen, deels telefoonnummers; deels bevestigd Bron: datalekt.nl

Maart 2026

1. 02/03-03

   AkzoNobel (hoofdkantoor Amsterdam; getroffen locatie in de VS) Industrie

   Anubis claimt 170 GB inclusief paspoortscans en contracten, deels gepubliceerd; AkzoNobel: beperkt tot één Amerikaanse locatie, ingedamd Bron: BleepingComputer

2. 06-03

   Westfield Mall of the Netherlands (Leidschendam) Retail

   Database loyaltyprogramma en nieuwsbrief: naam, e-mail, telefoon, postcode, geboortedatum; ook Franse en Duitse centra; aantal onbekend Bron: Hart van Nederland

3. 10-03 (inbraak), 16/17-03 (bekend)

   Gemeente Epe Overheid

   Circa 871 GB inclusief BRP-export van vrijwel alle inwoners (zie top 25) Bron: gemeente Epe

4. 11/12-03

   Bastion Hotels Horeca

   Phishing bij medewerker; volgens media circa 6.000 gasten (zie top 25) Bron: Hart van Nederland

5. 14/16-03 (onthulling; inbraken 2025)

   Justitiële ICT Organisatie (JIO) Overheid

   Argos onthult dat JIO in 2025 twee keer via Citrix is gehackt, met vrijwel open interne firewall; systemen bewust online gehouden uit angst voor uitval enkelbanden Bron: Argos

6. 18/19-03

   Rechtbank Rotterdam: bankhelpdesk- en phishingorganisatie Opsporing

   Celstraffen van drie tot zeven jaar; één verdachte witwaste circa 750.000 euro en logde in op rekeningen van slachtoffers Bron: Rechtspraak

7. 19-03

   Innova Energie Energie

   Ex-medewerker stal klantgegevens: naam, geboortedatum, telefoon, e-mail, adres, IBAN; aantal onbekend; aangifte en AP-melding Bron: ccinfo.nl

8. 19-03 (ontdekt), 23-03 (geblokkeerd)

   Ministerie van Financiën Overheid

   Zero-day in werkplektoegang bij leverancier; beleidskern deels plat (zie top 25) Bron: Rijksoverheid

9. 20-03 en 23-03

   DigiD / Logius Overheid

   DDoS; circa twee uur uitval tijdens de belastingaangifte (zie top 25) Bron: DutchNews

10. 25-03 (incident), 27-03 (persbericht)

    Politie Nederland Overheid

    Geslaagde phishing gaf toegang; SOC detecteerde en sloot af; impact beperkt, geen burger- of opsporingsgegevens Bron: BleepingComputer

11. 25-03 (bekend), 26-05 (aanhouding)

    Ajax Sport

    Kwetsbaarheden in app en ticketsystemen; verdachte aangehouden (zie top 25) Bron: Ajax

12. 30-03 (aanhoudingen 04 en 09-03)

    Bankhelpdesk- en cryptofraude (Noord- en Midden-Nederland) Opsporing

    Acht verdachten aangehouden; ruim 1,7 miljoen euro schade uit meer dan 40 aangiften Bron: politie

13. 31-03, 11-05 (update)

    Eurocamp en Roan (kampeervakanties) Reizen

    Ketenaanval via technische dienstverlener; duizenden Nederlandse klanten: naam, telefoon, e-mail, bestemming, reisdata; WhatsApp-betaallinks Bron: ccinfo.nl (via De Telegraaf)

April 2026

1. 07-04 (ontdekt), 12-04 (publiek)

   ChipSoft (EPD-leverancier) Zorg

   Ransomware door Embargo; patiëntgegevens gestolen, portalen weken offline (zie top 25) Bron: ChipSoft

2. 09-04 (ontdekt), 16-04 (bekend), 20-06 (claim)

   SRA (vereniging van accountantskantoren) Financieel

   Inbraak op inactieve fileservers; historische data 2023 tot 2025 mogelijk ingezien; LockBit 5.0 claimt, SRA bevestigt omvang niet Bron: SRA

3. 12-04 (mails), 13-04 (bevestigd)

   Booking.com (Amsterdam) Reizen

   Onbevoegde toegang tot reserveringsgegevens; aantal onbekend (zie top 25) Bron: DutchNews

4. 13-04

   Basic-Fit Sport

   Circa 200.000 Nederlandse leden, circa 1 miljoen in zes landen (zie top 25) Bron: NOS

5. 22-04

   Rituals Retail

   “Behoorlijk aantal” My Rituals-members; aantal niet bekendgemaakt (zie top 25) Bron: NOS

Mei 2026

1. 05-05 (bekend; toegang vanaf 25-04)

   Canvas/Instructure: zeven universiteiten bevestigd, 44 Nederlandse instellingen geclaimd Onderwijs

   ShinyHunters; Canvas 8 tot en met 12 mei offline in tentamenperiode (zie top 25) Bron: NOS

2. 05-05 (aanval), 14-05 (claim)

   Instituut voor de Nederlandse Taal (Leiden) Kennisinstituut

   Ransomware; alle systemen offline, tientallen taalwebsites en e-mail weken onbereikbaar; herbouw vanaf schone back-ups; The Gentlemen claimt datadiefstal, niet bevestigd Bron: Dutch IT Channel

3. 14/15-05 (bekend; toegang 14-10-2025 tot 22-04-2026)

   BWH Hotels (Best Western) Horeca

   Ruim zes maanden onopgemerkt toegang tot reserveringsapplicatie; naam, adres, verblijfsgegevens; geen financiële data Bron: datalekt.nl

4. 21-05

   First VPN Opsporing

   Criminele VPN-dienst onder Frans-Nederlandse leiding offline gehaald; 33 servers ontmanteld (zie Terugslaan) Bron: OM

5. 22-05 (bekend)

   FIOD: hosting achter pro-Russische DDoS-aanvallen Opsporing

   Twee aanhoudingen wegens overtreding van de Sanctiewet, meer dan 800 servers in beslag (zie Terugslaan) Bron: NL Times

6. 25/26-05 (phishinggolf), 02/03-06 (KHN, NOS)

   Ruim 100 Nederlandse hotels (Hospecs-groep en anderen) Horeca

   WhatsApp-betaalverzoeken met echte reserveringsgegevens; 178 KHN-meldingen (zie top 25) Bron: NOS

7. 28-05

   Gemeente Velsen Overheid

   Herhaalde DDoS op vaste telefonie; telefonische dienstverlening meermaals plat Bron: ccinfo.nl

8. 28/29-05

   Botnet van minstens 17 miljoen apparaten Opsporing

   Politie en NCSC nemen circa 200 servers bij een Nederlandse hostingprovider in beslag (zie Terugslaan) Bron: BleepingComputer

9. 29-05 (claim), 05/06-06 (publicatie)

   BCD Travel (Utrecht) Zakenreizen

   ShinyHunters; 396.313 geverifieerde e-mailadressen; 30 GB gepubliceerd (zie top 25) Bron: Have I Been Pwned

Juni 2026

1. 01-06

   Bokt.nl (paardenforum) Media

   E-mailadressen en gehashte wachtwoorden van een deel van de gebruikers gestolen Bron: datalekt.nl

2. 09-06 (RTL), 16-06 (SIDN)

   Cliënten van bewindvoerders (landelijk) Financieel

   Onderzoeker registreerde verlopen domeinnamen van bewindvoerderskantoren opnieuw; 258 financiële cliëntdossiers bereikbaar; SIDN bevestigt het mechanisme Bron: ccinfo.nl

3. 11/12-06

   Kredietbank Limburg Financieel

   Phishingmails verstuurd vanuit eigen systemen naar cliënten; honderden cliënten mogelijk geraakt Bron: datalekt.nl (via De Limburger)

4. 13-06 (gemeld), 16-06

   Belastingdienst Overheid

   Analysesoftware op betaalpagina’s stuurde gedragsdata en betaalstatus naar Adobe; functie uitgezet; AP gemeld, Kamer geïnformeerd Bron: datalekt.nl (op basis van Kamerstukken)

5. 18-06 (actie 15 tot 19-06)

   SocGholish (FakeUpdates) Opsporing

   Malwarenetwerk onder Nederlandse leiding ontmanteld; 14.971 besmette WordPress-sites opgeschoond (zie Terugslaan) Bron: politie

6. 18 tot 23-06

   FortiBleed: minstens 279 Nederlandse organisaties met Fortinet-firewalls Meerdere sectoren

   Gecompromitteerde firewalls; bij 136 organisaties nog beheerderstoegang van aanvallers (zie top 25) Bron: Dutch IT Channel

7. 19-06

   Phishing uit naam van de Belastingdienst (Terneuzen, Capelle aan den IJssel) Opsporing

   Drie verdachten aangehouden; elf aangiften aan de zaak gekoppeld Bron: politie

Juli 2026

1. 02-07 (bekend; fout sinds 30-06-2025)

   Avans Hogeschool Onderwijs

   Managementdashboard toonde bijna een jaar gevoelige persoonsgegevens aan onbevoegde interne gebruikers; media: circa 20.000 betrokkenen, Avans bevestigt aantal niet Bron: Dutch IT Channel

2. 06-07

   Squid Sailing (navigatiesoftware) IT/leveranciers

   Ongeautoriseerde toegang tot accountgegevens op de website: e-mail, versleutelde wachtwoorden, NAW, telefoon; aantal onbekend Bron: datalekt.nl

3. 09/10-07

   DigiD / Logius Overheid

   Opnieuw slecht bereikbaar door terugkerende DDoS (zie top 25) Bron: Dutch IT Channel

4. 09-07 (hack), 30-07 (claim), 01-09 (gemeld)

   RentRunner / Van Eijck International Car Rescue Transport

   Onbevoegde had kort toegang; Aurora claimt 156 GB thuismappen en 12 GB contracten; mogelijk paspoortkopieën en handtekeningen van klanten Bron: datalekt.nl

5. 10-07

   Lidl (webshop; klanten NL, BE, DE) Retail

   Kortstondige toegang tot apart opgeslagen klantbestand bij externe IT-dienstverlener: naam, telefoon, e-mail, geboortedatum, klantnummer; aantal onbekend Bron: NL Times

6. 10-07

   Eigenaren van IP-camera’s langs militaire transportroutes Defensie/beveiliging

   Russische inlichtingendiensten hackten een “klein aantal” camera’s (zie top 25) Bron: Defensie

7. 15/16-07 (bekend; inbraak 28-02)

   Secureholiday / Ctoutvert (Frans campingboekingsplatform) Reizen

   41.577 Nederlandse kampeerders; phishing namens campings (zie top 25) Bron: NL Times

8. 17-07

   Gemeenten met persoonsgegevens in openbare raadsdocumenten (o.a. Pijnacker-Nootdorp, Midden-Delfland) Overheid

   NOS/Nieuwsuur: BSN’s in 255 openbare documenten, 43 in één stuk; 133 namen en adressen van azc-tegenstanders; negen jaar na AP-aanwijzing Bron: NOS

9. 23/24-07 (claim), 19-08 (onderzoek afgerond)

   IJsstadion Thialf (Heerenveen) Sport

   The Gentlemen claimt versleuteling en diefstal van personeels- en financiële data; Thialf na forensisch onderzoek: impact “nihil”, evenementen gingen door Bron: Dutch IT Channel

10. 24-07 (bekend; fout sinds april 2024)

    SIDN (.nl-registry) Internetinfrastructuur

    Opvraagdienst RDAP toonde circa twee jaar te veel registratiegegevens van zakelijke domeinhouders; geen misbruik gezien; AP gemeld Bron: Dutch IT Channel

Augustus 2026

1. 29-07 tot 01-08 (inbraak), 05-08 (klanten)

   CEVA Logistics; klanten Bol, de Bijenkorf, ING, Ace & Tate, Ajax-fanshop; eigen (ex-)personeel Logistiek

   Inbraak in één Nederlands distributiecentrum; aantallen onbekend (zie top 25) Bron: NOS

2. 02-08 (lek), 14/17-08 (bekend)

   UMC Utrecht (boekingssysteem gastenverblijf, leverancier VIPS PMS) Zorg

   Circa 5.000 gasten: naam, geslacht, contact- en verblijfsgegevens; geen medische of financiële data; AP gemeld Bron: Hart van Nederland

3. 11/12-08

   Simian (Groningen; Drukland, Reclameland, Flyerzone) Retail

   Via externe dienstverlener: e-mailadressen en gehashte wachtwoorden; bij een beperkte groep creditcardgegevens onderschept; aangifte en AP-melding Bron: DutchNews

4. 05-08 of 13/14-08 (leaksite)

   Philips en Shell Industrie

   Clop claimt engineeringdata via lek in PTC Windchill; bedrijven: ingedamd (zie top 25) Bron: NOS

5. Eind juli, 14-08

   Gemeenten IJsselstein, Lopik, Houten, Nieuwegein Overheid

   Inwoner vond persoonsgegevens inclusief BSN in openbare raadsstukken; IJsselstein haalde alle stukken sinds 2014 offline; AP-meldingen Bron: Binnenlands Bestuur

6. 26-08 (fout), 30-08 (hersteld)

   CJIB (MijnCJIB) Overheid

   Softwarefout, geen hack: circa 6.000 vorderingen een etmaal aan verkeerde burgers gekoppeld; tientallen zagen andermans gegevens; MijnCJIB dagen offline Bron: Security.NL

September 2026

1. 01-09

   Voordeeluitjes.nl (hotelarrangementen) Reizen

   Onbevoegde toegang tot deel van het boekingssysteem; mogelijk uitgebreide persoonsgegevens; aantal onbekend Bron: datalekt.nl

2. 04-09 (publicatie; lek minstens zes maanden)

   Polarsteps (reisapp, Amsterdam) Tech

   Open programmeerinterface: 23 miljoen gebruikers; militairen traceerbaar (zie top 25) Bron: DutchNews

3. 04-09 (toegang), 29-09 (gemeld)

   Leef.nl (webshop) Retail

   Toegang tot externe klantendatabase; namen en andere klantgegevens; aantal onbekend Bron: Kassa

4. 04-09 (toegang), medio/29-09 (gemeld)

   DA (drogisterijketen, webshop) Retail

   Circa 236.000 webshopklanten; download niet vast te stellen (zie top 25) Bron: NOS

5. 12-09

   Revolut (EU-bank; Nederlandse klanten) Financieel

   Frauduleuze informatieverzoeken vanaf e-maildomein van een legitieme overheidsinstantie; 680 klanten, van wie 36 Nederlanders: rekeninggegevens, verificatiefoto’s, ID-kopieën; deel online gezet; eind oktober bleek dat ook paspoortkopieën van Nederlandse klanten waren gelekt Bron: BleepingComputer

6. 21-09 (inbraak), 01-10 (publiek)

   DIVD (Dutch Institute for Vulnerability Disclosure) Security

   Autonome AI-agent via twee zero-days in helpdesksysteem (zie top 25) Bron: BleepingComputer

7. 25-09 (bekend), 02-10 (deadline)

   Flink (flitsbezorger; NL en DE) Retail

   LPG Group; klanten rechtstreeks afgeperst voor circa 10 euro; niemand betaalde; data op 6 oktober te koop aangeboden (zie top 25) Bron: NL Times

8. 26 tot 28-09

   Amphia, Elisabeth-TweeSteden Ziekenhuis, Frisius MC, Rijksoverheid (o.a. BZK) Zorg en overheid

   Preventieve uitschakeling Citrix NetScaler: patiëntportalen offline, thuiswerken Rijk een weekend onmogelijk (zie top 25) Bron: Dutch IT Channel

9. 29-09

   ROBBshop.nl (webshop) Retail

   Naam, klantnummer, contactgegevens, geboortedatum, bestelgeschiedenis, btw-nummers, wachtwoordhashes; verplichte wachtwoordreset; aantal onbekend Bron: datalekt.nl

10. 29-09

    Kwebler (christelijk socialmediaplatform) Media

    Beheerdersaccount van het communicatiesysteem gecompromitteerd; omvang onbekend Bron: datalekt.nl

Oktober 2026

1. 08-10 (rapport; hack zomer 2025)

   Openbaar Ministerie Overheid

   Rapport commissie-Smit over de Citrix-hack van 2025: zero-day CVE-2025-6543, geen monitoring op NetScaler en kantoorautomatisering, verouderd ICT-landschap en te weinig capaciteit; achterstand van 9.000 zaken (zie Citrix-blok in de top 25) Bron: OM

2. 11-10 (start), 12-10 (publiek), grotendeels hersteld binnen twee weken

   Albert Heijn, Etos, Gall & Gall; Delhaize België; Ahold Delhaize VS Retail

   Systemen preventief uit na “kwaadwillende handelingen van anderen”: online bestellingen, apps en distributie bijna twee weken verstoord; geen bewijs van datadiefstal; geraamde omzetschade 200 tot 250 miljoen euro (zie top 25) Bron: Ahold Delhaize

3. 12 tot 15-10

   Malafide proxydienst Opsporing

   Politie haalt servers offline van een proxydienst op bijna 178.000 besmette apparaten, waarvan honderden in Nederland (zie Terugslaan) Bron: Dutch IT Channel

4. 17-10

   Oud-politievrijwilliger (Hattem) Opsporing

   Twaalf maanden cel, waarvan drie voorwaardelijk, voor het opzoeken en lekken van informatie uit politiesystemen, schending van het ambtsgeheim en meineed Bron: datalekt.nl

5. 20-10 (aanhoudingen 06-10)

   Nieuwe vorm van bankhelpdeskfraude (Rotterdam) Opsporing

   Twee verdachten aangehouden; ongeveer 170 slachtoffers en 380.000 euro schade; servers offline gehaald Bron: politie

6. 20-10 (aankondiging), 21-10 (patch)

   DigiD, MijnOverheid, Tweede Kamer, NCSC, AP, ziekenhuizen, veiligheidsregio’s, media en honderden andere organisaties Meerdere sectoren

   PHP2Shell: websites preventief offline vanwege twee kritieke PHP-lekken; geen Nederlandse inbraak bevestigd (zie top 25) Bron: NOS

7. 27-10 (bekend)

   Bitonic (bitcoinbroker) Financieel

   Hack via een inmiddels gedichte kwetsbaarheid; alle klanten uitgelogd; drie klanten verloren kleine bedragen en zijn volledig gecompenseerd; inzage in andere klantgegevens niet uitgesloten; cold storage niet geraakt Bron: DutchNews

8. 27-10 (aanhouding), 30-10 (bekend)

   Politiemedewerker eenheid Den Haag Opsporing

   36-jarige aangehouden, verdacht van het zonder reden raadplegen van politiesystemen en het tegen betaling delen van informatie; Rijksrecherche onderzoekt Bron: OM

9. 28-10

   Bulletproof hoster (Limburg) Opsporing

   Circa 50 servers in beslag, gebruikt voor kindermisbruikmateriaal, cyberaanvallen en phishing (zie Terugslaan) Bron: DutchNews

10. 29-10

    Militair Koninklijke Marechaussee Opsporing

    Veroordeeld voor passieve omkoping, schending van het ambtsgeheim en computervredebreuk; raadpleegde ruim vijf jaar zonder bevoegdheid politiesystemen Bron: datalekt.nl

Niet als apart incident geteld in oktober: de Kamerbrief van 8 oktober over DigiD-DDoS (jaaroverzicht, zie top 25), het nieuwe Citrix-lek van 9 oktober (geen misbruik bekend), het TUI-datalek van 11 oktober (volgens TUI Nederland alleen Belgische klanten), het AIVD/MIVD/NCSC-advies van 7 oktober over Chinese aanvallen op edge devices (dreigingsadvies, geen incident) en de publicatie door Clop van de eerder bij Shell en Philips gestolen bestanden (vervolg op augustus).

November 2026

1. 01/02-11

   Minstens 17 Nederlandse bedrijven met koel- en vriesinstallaties (slagers, buurtwinkels, een vrieshuis) Retail

   Aanvallers wijzigden op afstand de temperatuur van internet-bereikbare systemen met standaardwachtwoorden, op één locatie van min 20 naar min 10 graden; onderdeel van een Europese golf; grote supermarktketens niet geraakt; pro-Russische groepen claimen de aanvallen, wat niet is bevestigd Bron: NCSC en IO+

2. 05-11 (ontdekt), 09-11 (bekend)

   Topgeschenken (Topbloemen.nl, Toptaarten.nl, Topgeschenken.nl) Retail

   Aanvallers kregen toegang tot de IT-omgeving en stalen naam, adres, e-mail, geboortedatum, geslacht en telefoonnummers van klanten en ontvangers; aantal onbekend; systemen deels offline, melding bij de AP Bron: Security.NL

Niet als incident geteld in november: de NCSC-waarschuwingen van 5 november voor zero-days in Ivanti Connect Secure en een kritiek lek in WordPress, het Cybersecuritybeeld Nederland 2026 van 6 november en de waarschuwing van de AFM van 10 november dat cyberincidenten een acuut systeemrisico voor banken vormen. Incidenten uit de rest van november en uit december voegen we toe zodra ze zijn bevestigd.

Buiten de grens

Internationaal: wat ook Nederland raakte

Buitenlandse incidenten en campagnes die Nederlandse organisaties direct raakten, dezelfde software troffen of dezelfde daders hadden, gebundeld in twaalf blokken.

ShinyHunters: één groep, één methode, drie Nederlandse toplekken

Dezelfde groep die Odido, Canvas en BCD Travel leegtrok, voerde van februari tot juni een wereldwijde vishing-campagne tegen helpdesks en SSO-accounts, met daarna het leegtrekken van klantcontact- en supportomgevingen. In Amsterdam werd op 15 september een 24-jarige aangehouden in het onderzoek naar de groep; volgens de politie niet in het onderzoek naar de Odido-hack, en de groep zelf ontkent dat hij erbij hoort.Bron: Google Threat Intelligence

Stryker: 80.000 werkplekken gewist via de eigen beheertools (maart)

De groep Handala, volgens het Amerikaanse ministerie van Justitie aangestuurd door de Iraanse inlichtingendienst, kaapte een domeinbeheerdersaccount van medisch-technologiebedrijf Stryker en wiste via het werkplekbeheer bijna 80.000 Windows-apparaten. Herstel duurde 23 dagen. Stryker levert aan vrijwel elk Nederlands ziekenhuis.Bron: TechCrunch

TeamPCP: van één vergiftigde scanner naar de Europese Commissie (maart en april)

Een kwaadaardige versie van een veelgebruikte beveiligingsscanner stal geheimen uit ontwikkelpipelines; daarmee werden vervolgens andere pakketten en een wachtwoordmanager-CLI vergiftigd. Bij de Europese Commissie leidde dat tot diefstal van circa 92 GB en bijna 52.000 bestanden. Deze tooling draait in talloze Nederlandse ontwikkelomgevingen.Bron: Unit 42

Mini Shai-Hulud en ChainDrop: zelfverspreidende npm-wormen (mei en augustus)

Twee wormen in het npm-ecosysteem publiceerden honderden besmette pakketversies, oogstten ontwikkelaars- en cloudgeheimen en raakten pakketten met honderden miljoenen downloads per maand. Vrijwel elke Nederlandse webapplicatie bevat deze pakketten als indirecte afhankelijkheid.Bron: Unit 42

Anodot, Klue en ConnectWise: SaaS-koppelingen als achterdeur (april tot oktober)

In april gebruikte ShinyHunters gestolen tokens van kostenmonitoringdienst Anodot om bij de Snowflake-omgevingen van ruim tien klanten binnen te komen, onder wie Vimeo, zonder dat er een lek in Snowflake nodig was. In juni gaf een nooit ingetrokken pilot-credential uit 2022 bij marktonderzoeksplatform Klue toegang tot de OAuth-tokens van klanten en via die tokens tot hun cloudomgevingen, waaronder LastPass, HackerOne, Jamf en Snyk. Eind oktober volgde ConnectWise Cloud Backup: via een gecompromitteerde OAuth-app kwamen aanvallers in de Microsoft 365- en Google Workspace-omgevingen van ruim 300 klantbedrijven. Elk Nederlands bedrijf heeft tientallen van dit soort “kleine” SaaS-integraties met staande toegang.Bron: RH-ISAC, TechCrunch en Tweakers

Oracle PeopleSoft: zero-day tegen universiteiten (mei en juni)

ShinyHunters misbruikte een kritieke kwetsbaarheid (CVE-2026-35273, CVSS 9.8) in PeopleSoft; Mandiant informeerde ruim 100 organisaties, 68 procent universiteiten en hogescholen. Dezelfde sector die een maand eerder via Canvas werd geraakt, en software die ook bij Nederlandse universiteiten en grote bedrijven draait.Bron: Google Threat Intelligence

cPanel en SharePoint: misbruikte lekken in serversoftware (april tot juli)

Eind april bleek cPanel & WHM, het beheerpaneel van talloze webhosters, al maanden als zero-day misbruikt (CVE-2026-41940, CVSS 9.8): minstens 44.000 servers raakten gecompromitteerd, deels met “Sorry”-ransomware. Een Nederlands aantal is niet gepubliceerd, maar cPanel is gangbaar bij Nederlandse hosters en mkb-websites (Help Net Security). Op 14 juli verschenen 622 CVE’s in één keer, waaronder actief misbruikte SharePoint-lekken; CVE-2026-50522 liet aanvallers machine keys stelen waarmee tokens ook na de patch geldig bleven. Circa 1.500 on-premises servers stonden bereikbaar, merendeels SharePoint 2019, waarvan de support dezelfde dag afliep.Bron: Zero Day Initiative

Taiwan en de Hermes-campagne: autonome agents als aanvaller (juli)

In Taiwan werkten tot acht samenwerkende AI-agents vier dagen door tegen 21 overheidssystemen; Unit 42 beschreef een via Telegram aangestuurde agent die ruim 460 doelen in drie landen aanviel. De autonome pogingen mislukten, de handmatig gestuurde slaagden. Directe voorloper van de DIVD-aanval.Bron: Unit 42

Boston Scientific: wereldwijd stil na een cyberaanval (augustus en september)

De fabrikant van medische hulpmiddelen sloot op 25 augustus alle fabrieken en distributiecentra wereldwijd; ziekenhuizen kregen leveringsproblemen en het bedrijf meldde materiële impact op de jaarcijfers. Het Europese distributiecentrum staat in Kerkrade. Zelfde patroon als bij Albert Heijn: alles preventief uit.Bron: TechCrunch

Bitget: 387 miljoen dollar weg zonder gestolen sleutels (september)

De grootste cryptoroof van 2026, met een vermoedelijk Noord-Koreaanse signatuur: niet de sleutels werden gestolen, maar de backend van de walletinfrastructuur werd zo gemanipuleerd dat het interne goedkeuringsproces frauduleuze transacties zelf ondertekende. De les (scheid voorstellen van verifiëren) geldt ook voor betaalbatches in een gewoon bedrijf.Bron: TRM Labs

IDC Frontier: één cloudregio in zeven minuten versleuteld (oktober)

Ransomware op de hypervisorlaag van een Japanse publieke cloud legde 495 bedrijven en lokale overheden plat; klanten moesten een nieuwe omgeving bouwen vanuit eigen back-ups. Het eerste geval waarin een hele cloudregio inclusief snapshots verloren ging: precies het concentratierisico uit NIS2 en de Cyberbeveiligingswet, die op 15 augustus in werking trad.Bron: BleepingComputer

Statelijke dreiging: Laundry Bear op Zimbra en Chinese aanvallen op edge devices (juli en oktober)

Negentien diensten, waaronder AIVD en MIVD, waarschuwden op 24 juli voor de Russische groep Laundry Bear, die minstens vijf maanden een zero-click lek in mailserver Zimbra misbruikte. Op 7 oktober voorspelden AIVD, MIVD en NCSC een forse toename van Chinese aanvallen op firewalls, VPN’s en routers, met Nederlandse organisaties al onder de slachtoffers.Bron: NCSC

Vooruit

Wat organisaties hiervan moeten leren in 2027

De incidenten van 2026 wijzen steeds naar dezelfde handvol maatregelen. Geen nieuwe technologie, wel discipline op de basis.

1. Behandel de servicedesk als een kroonjuweel. Het grootste lek van het jaar begon met één telefoontje naar de klantenservice van Odido. Geef medewerkers een procedure om bellers te verifiëren via een onafhankelijk kanaal, stap over op phishingbestendige authenticatie en beperk bulkexport technisch; bij Basic-Fit was “binnen minuten gestopt” nog altijd 200.000 records te laat.
2. Beheer- en noodaccounts zonder tweede factor bestaan niet meer. In Epe was een noodaccount zonder MFA de sleutel tot de BRP-export van 32.000 inwoners, en bij FortiBleed stond op geen van de onderzochte firewalls een tweede factor aan. Bij de koelinstallaties die begin november werden overgenomen, volstond zelfs een standaardwachtwoord. Controleer dit niet één keer, maar laat het periodiek door een buitenstaander bevestigen in een penetratietest van uw externe aanvalsoppervlak.
3. Ken uw ketenafhankelijkheden en oefen zonder de leverancier. ChipSoft, Canvas en CEVA laten zien dat één leverancier een hele sector of een rij merken tegelijk kan stilzetten. Weet welke partijen een staande koppeling naar uw kernsystemen hebben, eis contractueel meldtermijnen in uren en test hoe uw organisatie doordraait als die partij morgen platligt.
4. Geef edge devices en kernsoftware een eigen draaiboek. Ivanti, Citrix, Fortinet, PTC Windchill, PHP: in 2026 werd elk type apparaat of applicatie aan de rand van het netwerk binnen uren na een advisory, en soms ervoor, geautomatiseerd aangevallen. Dat vraagt om een actuele inventaris, ook van de software onder uw websites, patchen binnen dagen en bij kritieke lekken binnen uren, centrale logging en de afspraak dat forensisch onderzoek vóór de patch komt, niet erna.
5. Weet wat door kan als u de stekker eruit trekt. Albert Heijn en het ministerie van Financiën schakelden preventief uit en ontdekten in de praktijk welke processen daaraan vastzaten; op 21 oktober moesten honderden organisaties binnen uren beslissen of hun website offline ging. Leg vooraf vast wie mag beslissen, welke kernprocessen zonder netwerk door moeten en hoe u communiceert; een voorbereid plan voor cyber incident response scheelt in het eerste etmaal het meest.
6. Bewaar minder, en korter. Odido verloor ID-nummers van oud-klanten, Eurail paspoortnummers die het niet nodig had, Epe kopieën van 1.022 identiteitsbewijzen op een server die al zou worden uitgefaseerd. Data die er niet is, kan niet lekken. Inventariseer waar gevoelige exports en kopieën staan en ruim ze op.
7. Test de hele keten zoals een aanvaller dat doet. Bij DIVD beperkte netwerksegmentatie de schade van een autonome agent; bij JIO stond de interne firewall vrijwel open en bij Flink was één gestolen inlog genoeg. Of segmentatie, detectie en de menselijke schakel samen standhouden, blijkt alleen in een realistische oefening zoals red teaming, niet in een beleidsdocument.
8. Communiceer sneller dan de aanvaller. Bij Secureholiday zaten vier maanden tussen ontdekking en waarschuwing, precies de periode waarin gasten werden gephisht; bij Flink stonden de afpersmails al in de inbox voordat klanten wisten wat er was gelekt. Een voorbereid bericht met wat wel en niet is gelekt en waarom betalen zinloos is, beperkt de vervolgschade meer dan de technische fix zelf.

Veelgestelde vragen

Veelgestelde vragen over cyberaanvallen in 2026