Play ransomware: de groep achter de hack van Stad Antwerpen

In de nacht van 5 op 6 december 2022 viel bijna de hele digitale werking van Stad Antwerpen uit. Loketten konden geen afspraken meer verwerken, mailboxen lagen stil, en het herstel zou maanden duren. Kort daarna eiste de groep Play de aanval op. Play is sindsdien niet verdwenen: volgens de FBI waren er tegen mei 2025 ongeveer 900 organisaties door getroffen.

Dit artikel is het profiel van Play ransomware: wie de groep is, hoe ze binnenkomt, welke aanvallen bevestigd zijn en wat een Vlaamse kmo nu nakijkt. Het volledige verloop van de aanval zelf leest u in ons artikel over de hack van Stad Antwerpen.

In het kort

• Play, ook PlayCrypt genoemd, is een ransomwaregroep die sinds juni 2022 actief is en gegevens steelt voor ze systemen versleutelt.
• Volgens het Amerikaanse CISA-advies AA23-352A, bijgewerkt in juni 2025, troffen de groep en haar partners ongeveer 900 organisaties.
• Play komt binnen via gestolen of gekochte accounts, bekende lekken in systemen die vanaf het internet bereikbaar zijn en externe toegang zonder MFA.
• De groep compileert haar ransomware voor elke aanval opnieuw, zodat klassieke antivirus ze moeilijk herkent.
• Stad Antwerpen betaalde geen losgeld en herstelde met back-ups.

Wat is Play ransomware?

Play is een ransomwaregroep die sinds juni 2022 actief is en ook PlayCrypt genoemd wordt. De groep steelt eerst gegevens, versleutelt daarna de systemen en dreigt de buit te publiceren op een eigen leksite. Volgens CISA en de FBI werden tot mei 2025 ongeveer 900 organisaties getroffen, in Noord-Amerika, Zuid-Amerika en Europa.

Waar Scattered Spider vooral via de helpdesk binnenkomt, steunt Play op toegang die al bestaat of te koop is, en op lekken die al bekend zijn. Daarin lijkt de groep meer op Akira, die ook dubbele afpersing toepast en vooral kleine en middelgrote organisaties treft.

Wat weten we over Play en Stad Antwerpen?

Volgens de stad begon de aanval met een geslaagde phishingactie bij een eindgebruiker, waarna de aanvallers het serverpark overnamen (Binnenlands Bestuur, oktober 2023). Play eiste de aanval op en claimde 557 gigabyte aan gegevens te hebben (Trends, december 2022). De stad betaalde geen losgeld, herstelde met back-ups en moest ongeveer 600 toepassingen herstellen of nakijken. Het herstel van de toepassingen kostte 11 miljoen euro; samen met een investering van 84 miljoen euro in cyberveiligheid gaat de rekening richting 100 miljoen euro (Computable, juni 2023). Het volledige verhaal leest u in ons artikel over de hack van Stad Antwerpen.

Andere Belgische slachtoffers die door de organisatie zelf, een overheid of gevestigde media als Play-aanval bevestigd zijn, vonden we niet. Op de leksite van Play staan wel namen van Belgische bedrijven, maar zo’n vermelding is een claim van criminelen, geen bevestiging. Een overzicht van bevestigde incidenten in België staat in ons artikel over cyberaanvallen op Belgische bedrijven.

Welke aanvallen van Play zijn bevestigd?

Xplain toont een patroon dat ook voor Vlaamse kmo’s speelt: het slachtoffer was een leverancier, de schade lag bij de klanten. Wie software of diensten levert aan een overheid of een groot bedrijf, is voor een groep als Play een ingang naar meer.

Hoe komt Play binnen?

CISA noemt drie toegangswegen. Ten eerste geldige accounts, vermoedelijk gekocht op het dark web. Ten tweede het misbruik van bekende lekken in toepassingen die vanaf het internet bereikbaar zijn, zoals Microsoft Exchange (CVE-2022-41040 en CVE-2022-41082). Sinds januari 2025 misbruikten makelaars die met Play samenwerken bovendien een lek in de beheertool SimpleHelp (CVE-2024-57727) bij veel organisaties. Ten derde externe toegang, zoals remote desktop, die alleen met een wachtwoord beveiligd is.

Eenmaal binnen gebruikt Play ook nieuwe lekken. Symantec beschreef in 2025 hoe Balloonfly, de groep achter Play, een lek in het Common Log File System van Windows (CVE-2025-29824) gebruikte voor Microsoft het had gedicht. Microsoft koppelde hetzelfde lek aan een andere aanvaller. Bij Antwerpen was de eerste stap volgens de stad gewoon een geslaagde phishingmail.

Het gaat telkens om lekken waarvoor een update bestond of snel kwam. Wie updates voor systemen aan de buitenkant voorrang geeft, sluit dus de meest gebruikte deur. Hoe u daarbij de KEV-lijst van actief misbruikte kwetsbaarheden gebruikt, leest u in ons artikel over CVSS, CVE en de KEV-lijst.

De werkwijze van Play volgens MITRE ATT&CK

Het CISA-advies beschrijft de hele keten, van de eerste toegang tot de afpersing. Wie het model nog niet kent, vindt de uitleg in ons artikel over MITRE ATT&CK en de cyber kill chain.

Wat betekent Play voor een Vlaamse kmo?

De werkwijze van Play is technisch, maar de verdediging is dat grotendeels niet. Wie deze zeven punten op orde heeft, sluit de meeste stappen in de tabel af:

• Updates voor alles wat vanaf het internet bereikbaar is, met voorrang voor lekken op de KEV-lijst.
• MFA op alle externe toegang en op e-mail, zodat een gekocht wachtwoord niet volstaat.
• Geen lokale beheerdersrechten voor gewone gebruikers, en aparte accounts voor beheer, ook voor de beheerconsole van uw virtualisatieplatform.
• Back-ups die een aanvaller niet kan wissen, offline of onveranderbaar, met een hersteltest die echt gebeurt. Hoe u dat opzet, leest u in ons artikel over de 3-2-1-1-0-regel.
• Een alarm als beveiliging wordt uitgeschakeld of logboeken gewist worden. Dat zijn de stappen vlak voor de versleuteling.
• Phishingtraining voor iedereen, want in Antwerpen begon het met één mail.
• Een incidentresponsplan dat klaarligt, zodat u bij de eerste melding weet wie wat doet. Het algemene verloop van een ransomwareaanval staat in onze ransomwaregids voor België.

“Play valt steden en grote bedrijven aan, niet ons”

Dat is begrijpelijk: Antwerpen, Rackspace en de Zwitserse overheid halen het nieuws. Maar CISA beschrijft slachtoffers in een brede waaier van bedrijven en kritieke infrastructuur, en de toegangsmakelaars waarmee Play werkt, scannen het internet op bekende lekken in plaats van een doelwit uit te kiezen. Een kmo met een ongepatchte beheertool of een remote-desktoptoegang zonder MFA valt in dezelfde zoekresultaten als een stad. En zoals bij Xplain kan een kleine leverancier de weg zijn naar een grote klant.

Staan de toegangswegen van Play bij u open?

Play zoekt accounts zonder MFA en bekende lekken die nog niet gedicht zijn. Cyberplan kijkt met een gratis scan naar wat van uw organisatie vanaf het internet zichtbaar is en waar een bekende kwetsbaarheid openstaat. Wie verder wil gaan, laat met een penetratietest testen of een aanvaller na die eerste stap ook echt verder raakt.

Veelgestelde vragen

Wie zit er achter Play ransomware?

Play is een cybercriminele groep die sinds juni 2022 actief is en bij Symantec Balloonfly heet. Volgens CISA is het vermoedelijk een gesloten groep, die wel samenwerkt met makelaars die toegang tot netwerken verkopen. Wie de leden zijn, is niet publiek bekend. Arrestaties van de kern van de groep zijn niet bekend gemaakt.

Heeft Stad Antwerpen losgeld betaald aan Play?

Nee. Stad Antwerpen besliste na overleg met experts om niet te betalen en herstelde de systemen met back-ups. Het herstel van de toepassingen kostte volgens Computable 11 miljoen euro, en de stad plant daarnaast een investering van 84 miljoen euro in cyberveiligheid, samen richting 100 miljoen euro.

Hoe herken ik een aanval van Play?

Versleutelde bestanden krijgen de extensie .PLAY, en in de mappen staat een losgeldbrief zonder bedrag, met alleen een mailadres op @gmx.de of @web.de. Op VMware ESXi verschijnt de losgeldbrief in het welkomstscherm. Vaak gaan uitgeschakelde beveiliging en gewiste logboeken vooraf aan de versleuteling.

Waarom valt Play VMware ESXi aan?

Op één ESXi-server draaien vaak tientallen virtuele servers. De ESXi-variant van Play zet de virtuele machines uit en versleutelt hun schijfbestanden in één beweging, zodat één aanval de hele werking stillegt. Beperk daarom de toegang tot de beheerconsole tot aparte beheerdersaccounts met MFA.

Beschermt antivirus tegen Play?

Slechts gedeeltelijk. Play compileert de ransomware voor elke aanval opnieuw, zodat de bestanden telkens een andere vingerafdruk hebben, en schakelt beveiligingssoftware uit met legitieme beheertools. Detectie van verdacht gedrag, MFA, tijdige updates en back-ups die de aanvaller niet kan wissen wegen zwaarder dan antivirus alleen.