De politie en het Openbaar Ministerie zien in westerse landen nieuwe hackers opkomen. Ze ontmoeten elkaar online in een los samenhangend netwerk van individuen. Ze zijn niet ideologisch of politiek gemotiveerd, het gaat ze vooral om geld en status. Dat schrijven de politie en het OM in hun Cybercrimebeeld van dit jaar. "Dit zijn personen tussen de 11 en 25 jaar", zegt Stan Duijf, verantwoordelijk voor de aanpak van cybercriminaliteit bij de politie. "Ze komen vooral uit westerse landen, spreken Engels, werken in een soort van online netwerk en plegen vooral data- en cryptodiefstallen." Voorhee
Exploiteerbaarheid: geen exploit bekend. Blootstelling: niet internet-facing / geen bekende blootstelling. Gemeentelijke relevantie: geen match met de gemeentelijke context. Impact: continuïteit/crisis: kerndienstverlening bedreigd. Bronvertrouwen: middel.
Scorecomponenten
geen exploit bekend
niet internet-facing / geen bekende blootstelling
geen match met de gemeentelijke context
continuïteit/crisis: kerndienstverlening bedreigd
beperkt bevestigd
geen mitigatie bekend
Prioriteit: laag
Aanbevolen reactietijd: reguliere patchcyclus
Laag (24/100) — reguliere patchcyclus. Bepalend: gemeentelijke relevantie (40/100) en technische ernst (28/100). Meelopen in de reguliere patch- en beheercyclus volstaat. Deze prioritering is regelgebaseerd en navolgbaar; weeg de aannames en onzekerheden mee voor de eigen gemeentelijke omgeving.
laag — De technische ernst is beperkt.
laag — Er zijn geen concrete aanwijzingen voor misbruik.
midden — Dit kan gemeenten raken, afhankelijk van de eigen omgeving en leveranciers.
laag — Monitoren volstaat; er is geen directe actie nodig.
Positieve factoren
De categorie 'ransomware' verhoogt de technische ernst.
Bron: Categorisering door de verrijkingspijplijn
Negatieve factoren
De zekerheid is 'unconfirmed'; een onbevestigd signaal verlaagt de urgentie tot het is geverifieerd.
Bron: Zekerheidsinschatting van de radar
Aannames
Onzekerheden
Deze prioritering is regelgebaseerd en navolgbaar. Een CISO kan deze onderbouwing gebruiken richting directie of ICT-management; stem de opvolging af op de eigen gemeentelijke omgeving.
9 concrete acties verdeeld over 7 rol(len). Aanbevolen reactietijd: reguliere patchcyclus.
Taken voor CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
ISO / patchmanagement
Controleer of een patch of mitigatie beschikbaar is en bepaal de deadline voor opvolging.
Bewijs vereist: Patch- of mitigatieoverzicht met versienummers.
SOC
Onderzoek endpoints en logs op bekende ransomware-indicatoren.
Bewijs vereist: Conclusie van het endpoint- en logonderzoek.
ICT-beheer
Breng in kaart welke systemen, applicaties of accounts de kwetsbare component bevatten.
Bewijs vereist: Lijst van geraakte systemen uit de CMDB of inventaris.
Bevestig dat actuele, geisoleerde back-ups beschikbaar zijn en dat herstel getest is.
Bewijs vereist: Bevestiging van een geslaagde back-up- en hersteltest.
Functioneel beheer
Controleer of de geraakte applicatie of koppeling extra aandacht nodig heeft.
Proceseigenaar
Beoordeel wat de dreiging betekent voor de continuiteit van het geraakte proces.
Directie
Wees voorbereid op besluitvorming over de continuiteit bij een geslaagde aanval.
De acties zijn regelgebaseerd gegenereerd. Stem ze af op de eigen gemeentelijke omgeving en wijs per actie een eigenaar en deadline toe.
Relevante logbronnen
MITRE ATT&CK — tactieken
MITRE ATT&CK — technieken
Huntingvragen
KQL-huntingqueries (Microsoft Sentinel)
Defender-waarschuwingen rond endpointcompromittatie
Toont waarschuwingen van Microsoft Defender for Endpoint met een hoge of gemiddelde ernst.
// Defender-waarschuwingen rond endpointcompromittatie
SecurityAlert
| where TimeGenerated > ago(7d)
| where ProductName == "Microsoft Defender for Endpoint"
| where AlertSeverity in ("High", "Medium")
| project TimeGenerated, AlertName, AlertSeverity, CompromisedEntity,
Description
| order by TimeGenerated descFalse positives: Beheertooling en pentests kunnen legitieme waarschuwingen genereren.
Pieken in mislukte aanmeldingen
Toont bronnen met veel mislukte aanmeldingen - mogelijk password spraying of brute force.
// Pieken in mislukte aanmeldingen (mogelijk password spraying)
SigninLogs
| where TimeGenerated > ago(1d)
| where ResultType != 0
| summarize Mislukt = count(), Accounts = dcount(UserPrincipalName)
by IPAddress, bin(TimeGenerated, 1h)
| where Mislukt > 20 or Accounts > 5
| order by Mislukt descFalse positives: Verlopen wachtwoorden en verkeerd geconfigureerde clients leveren legitieme pieken op.
Indicators of compromise
Geen IOC's herkend in de openbare dreigingstekst. IOC's kunnen later via een threat-intelfeed worden aangevuld.
False-positive-aandachtspunten
Beheerscripts, software-uitrol en back-uptaken kunnen op ransomwaregedrag lijken. Verifieer met de changekalender en de beheerteams.
Deze informatie is uitsluitend defensief: detectie en hunting. De KQL-queries zijn read-only en bedoeld voor Microsoft Sentinel.
Vragenlijst
E-mailonderwerp
Uitvraag beveiligingsmelding — reactie gevraagd
E-mailtekst
Geachte heer/mevrouw, Naar aanleiding van een beveiligingsmelding doet onze gemeente een uitvraag bij u als leverancier. Deze uitvraag dient ter verificatie en feitenvaststelling: wij willen vaststellen of en in welke mate de aan onze gemeente geleverde dienstverlening wordt geraakt. Het exacte product of onderdeel is bij ons nog niet vastgesteld; wij vernemen dit graag van u. Wij verzoeken u de onderstaande vragen volledig en onderbouwd te beantwoorden en uw reactie binnen tien (10) werkdagen na ontvangst van dit bericht schriftelijk aan te leveren bij de informatiebeveiligingsfunctie van onze gemeente. Zijn bepaalde gegevens nog niet beschikbaar, dan ontvangen wij graag een tussentijdse terugkoppeling. Vragen: 1. Gebruikt u de kwetsbare component of het geraakte product? 2. Welke versies zijn bij u in gebruik? 3. Is de kwetsbaarheid van toepassing op de dienstverlening aan onze gemeente? 4. Is de kwetsbaarheid inmiddels gepatcht? 5. Zo ja, op welke datum is de patch doorgevoerd? 6. Zo nee, welke mitigerende maatregelen zijn genomen? 7. Is er actief misbruik van de kwetsbaarheid geconstateerd? 8. Is er logging of forensisch onderzoek uitgevoerd? 9. Is er sprake van een risico op een datalek? 10. Wanneer verwacht u een definitieve oplossing door te voeren? 11. Welke restrisico's blijven na de oplossing bestaan? 12. Welke communicatie mogen wij richting onze interne stakeholders gebruiken? Deze uitvraag is bedoeld om de feiten vast te stellen en gezamenlijk tot een passende opvolging te komen. Wij stellen uw tijdige medewerking op prijs. Met vriendelijke groet, [Naam] Namens de informatiebeveiligingsfunctie Gemeente [Gemeente]
Vul vóór verzending de afzender en gemeentenaam in. De tekst is zakelijk en gericht op feitenvaststelling; pas hem aan op de eigen situatie.
Deze dreiging raakt de onderstaande governance-thema's. Met de aanbevolen bewijsstukken kunt u aantonen dat het signaal is opgevolgd — bruikbaar voor BIO2, NIS2/CBW, ISMS en de ENSIA-verantwoording.
Ransomware kan de continuïteit van gemeentelijke dienstverlening ontwrichten.
Aanbevolen bewijs: Actueel continuïteits- of uitwijkplan en een uitgevoerde test.
Geïsoleerde, geteste back-ups zijn de belangrijkste maatregel tegen ransomware.
Aanbevolen bewijs: Bevestiging van een geslaagde back-up- en hersteltest.
De dreiging vraagt om paraatheid van het incidentproces.
Aanbevolen bewijs: Incidentprocedure en, bij een incident, het incidentlogboek.
Een geslaagde aanval vraagt om gestructureerde incidentbehandeling.
Aanbevolen bewijs: Incidentregistratie en de genomen beheersmaatregelen.
Bij een significant incident kan een meldplicht bij de toezichthouder gelden.
Aanbevolen bewijs: Afweging van de meldplicht (NIS2/CBW en AVG), vastgelegd.
De dreiging en de opvolging ervan horen thuis in de periodieke rapportage aan het management en de directie.
Aanbevolen bewijs: Vermelding in de CISO- of directierapportage informatiebeveiliging.
De radar legt de beoordeling, prioritering en opvolging navolgbaar vast.
Aanbevolen bewijs: Scoringonderbouwing, actiekaart en statusgeschiedenis uit de radar.
Aantoonbare opvolging draagt bij aan de jaarlijkse ENSIA-verantwoording over de BIO.
Aanbevolen bewijs: Overzicht van opgevolgde dreigingen voor de ENSIA-zelfevaluatie.
De politie en het Openbaar Ministerie zien in westerse landen nieuwe hackers opkomen. Ze ontmoeten elkaar online in een los samenhangend netwerk van individuen. Ze zijn niet ideologisch of politiek gemotiveerd, het gaat ze vooral om geld en status. Dat schrijven de politie en het OM in hun Cybercrimebeeld van dit jaar. "Dit zijn personen tussen de 11 en 25 jaar", zegt Stan Duijf, verantwoordelijk voor de aanpak van cybercriminaliteit bij de politie. "Ze komen vooral uit westerse landen, spreken Engels, werken in een soort van online netwerk en plegen vooral data- en cryptodiefstallen." Voorheen werd bij cybercriminaliteit eerst naar niet-westerse landen gekeken, zoals Rusland , waar westerse opsporingsautoriteiten niet of nauwelijks toegang toe hadden. "Nu zien we dat er ook echt westerse criminelen op komst zijn die online samenwerken en serieuze vormen van cybercriminaliteit plegen." Odido-hack Als voorbeeld noemt het rapport de hack op telecomprovider Odido, begin dit jaar . Volgens het OM en de politie werd die uitgevoerd door criminelen die schuilgaan achter de naam ShinyHunters. Twee maanden geleden zei de politie dat er vermoedelijk Nederlandse criminelen bij betrokken waren. De hackers eisten losgeld van Odido na het stelen van persoonsgegevens van zes miljoen klanten. Odido ging daar niet op in, met als gevolg dat de data online te koop werden aangeboden. Klein beginnen Volgens Duijf begint de verleiding van jongeren om de cybercriminaliteit in te gaan al vroeg, op games als Roblox, Fortnite of Minecraft. "In die games chatten ze met andere mensen en worden ze op die manier verleid. Het gaat net zoals op het schoolplein, ze beginnen met kattenkwaad. Maar uiteindelijk kunnen ze uitgroeien tot cybercriminelen." In 2025 werden naar schatting 2,5 miljoen mensen slachtoffer van cybercrime. Duijf ziet de dreiging van cybercriminaliteit steeds groter worden. De opkomst van AI helpt daarbij. Door gebruik te maken van kunstmatige intelligentie wordt het plegen van cybercriminaliteit steeds makkelijker en het herkennen door burgers van bijvoorbeeld phishingmails steeds moeilijker. Politie en OM maken zich grote zorgen over deze ontwikkelingen. De politie kan die niet alleen tegenhouden. "Dit is een verantwoordelijkheid voor iedereen, dus dat betekent organisaties, overheden, maar ook individuele burgers die hier alert op moeten zijn.
Categorie 'ransomware' op basis van trefwoord 'losgeld'. Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'unconfirmed': afgeleid van de betrouwbaarheidsscore van de bron (0.6). Geen bekende leveranciers of producten herkend.
Deze dreiging scoort 40/100 voor de gemeentelijke relevantie. Meegewogen: een ransomwarerisico en impact op persoonsgegevens. Geraakte processen: Netwerk en infrastructuur, Back-up en herstel, Crisisbeheersing en continuïteit.
Bestuurlijke duiding
Deze dreiging is relevant voor de gemeente. Ransomware kan kernprocessen platleggen en raakt de continuïteit van de dienstverlening aan inwoners. De impact is beheersbaar mits de geadviseerde maatregelen tijdig worden opgevolgd. Laat de CISO de voortgang bewaken en escaleer richting directie zodra nieuwe signalen daartoe aanleiding geven.
Geraakte processen
Betrokken rollen
CISO · SOC · ICT beheer · Directie · Gemeentesecretaris
Concrete stappen voor ICT-beheer en het securityteam.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Deel geen vertrouwelijke of persoonsgegevens in dit formulier. Beschrijf je melding algemeen; gevoelige details horen niet op een publieke radar thuis.