Qilin ransomware: werkwijze, bevestigde aanvallen en België

Qilin ransomware is een criminele groep die sinds medio 2022 actief is, eerst onder de naam Agenda. Qilin werkt als ransomware-as-a-service: partners voeren de aanvallen uit met de software van de groep. Ze komen vooral binnen met gestolen inloggegevens en externe toegang zonder MFA, en stelen gegevens voor ze versleutelen. Een door de organisatie zelf bevestigd Belgisch slachtoffer is er tot nu toe niet.

Dit artikel is het profiel van de groep: wie Qilin is, hoe de aanvallen verlopen, welke slachtoffers echt bevestigd zijn en welke deur een Vlaamse kmo eerst dichtzet.

In het kort

• Qilin, eerder Agenda, werkt met partners die 80 tot 85 procent van het losgeld krijgen, volgens het Amerikaanse HHS (juni 2024).
• Volgens Cyble was Qilin in de eerste helft van 2026 de meest actieve ransomwaregroep; de leksite telde op 18 oktober 2026 volgens ransomware.live 2.388 vermelde slachtoffers.
• Een bekende tactiek: via het groepsbeleid van Windows alle wachtwoorden uitlezen die medewerkers in Google Chrome bewaarden.
• Belgische namen op de leksite zijn claims van criminelen. Geen enkele is door de organisatie, het CCB of gevestigde media bevestigd.
• De eerste prioriteit voor een kmo: MFA op elke externe toegang en geen bedrijfswachtwoorden in de browser.

Wat is Qilin ransomware?

Qilin is een ransomwaregroep die medio 2022 opdook als Agenda en zich tegen september 2022 Qilin noemde. De groep schreef haar ransomware eerst in Go en stapte later over op Rust. Ze verhuurt die software aan partners, de zogenaamde affiliates, die zelf hun slachtoffers kiezen. Wie in Google zoekt op alleen “qilin”, komt eerst bij een Chinees fabeldier terecht; dit artikel gaat over de criminele groep.

Een vermelding op de leksite is geen bewijs van een geslaagde aanval. Het aantal toont wel hoe breed de partners van Qilin werken. Microsoft beschreef in september 2026 bijvoorbeeld de partner Storm-2570, die afwisselend de ransomware van Qilin en van andere groepen inzet. Daarin lijkt het model op dat van Akira, terwijl Play volgens CISA eerder een gesloten groep is.

Welke Belgische organisaties trof Qilin?

Op de leksite van Qilin staan sinds 2025 meerdere Belgische namen, in augustus 2026 ook een Brusselse universiteit. Geen enkele daarvan is bevestigd door de organisatie zelf, door het Centrum voor Cybersecurity België of door gevestigde media. We noemen ze daarom niet. Een claim op een leksite is een drukmiddel van criminelen: soms klopt hij, soms is het oude of elders gestolen data, en soms is het bluf.

Wat wel vaststaat, is dat Qilin in onze buurlanden bevestigde schade aanrichtte en in België actief claimt. Voor een Vlaamse kmo is de vraag dus niet of de groep België kent, maar of de toegangswegen die Qilin gebruikt bij u openstaan. Een overzicht van bevestigde incidenten in België vindt u in onze ransomwaregids voor België.

Welke aanvallen van Qilin zijn bevestigd?

In oktober 2026 arresteerde Duitsland een 28-jarige Rus die volgens de autoriteiten tot de kern van Qilin behoort. Japan had hem in mei 2026 in Osaka opgepakt en uitgeleverd (BleepingComputer, 9 oktober 2026). De partners van Qilin beschikken wel nog over de software, dus de groep is daarmee niet uitgeschakeld.

Hoe komt Qilin binnen?

Het grootste deel van de aanvallen begint met een wachtwoord dat al gestolen is. Partners kopen inloggegevens van makelaars of halen ze uit infostealers, malware die wachtwoorden van besmette toestellen wegsluist. Daarmee loggen ze in op een portaal voor externe toegang of een beheeromgeving waar alleen een wachtwoord gevraagd wordt. In het geval dat Sophos in augustus 2024 beschreef, was dat precies het begin: een portaal voor externe toegang zonder MFA, waarna de aanvallers achttien dagen wachtten voor ze verder gingen.

Daarnaast zoeken partners naar bekende lekken in toepassingen die vanaf het internet bereikbaar zijn, en gebruiken ze phishing en social engineering via de helpdesk. Die laatste tactiek leest u uitgebreid in ons artikel over Scattered Spider en de helpdesktruc.

Wat doet Qilin eenmaal binnen?

Drie tactieken onderscheiden Qilin van veel andere groepen. Wie het kader nog niet kent, vindt de uitleg in ons artikel over MITRE ATT&CK en de cyber kill chain.

Vooral de eerste tactiek verandert de schade. Na een Qilin-aanval volstaat het niet om servers terug te zetten vanaf back-ups. Elk wachtwoord dat in de browser stond, voor het boekhoudpakket, de bank of een leveranciersportaal, moet als gestolen beschouwd en gewijzigd worden.

Waarom zou een kmo een groepsprofiel lezen?

Een begrijpelijke reactie: groepen wisselen voortdurend van naam en partners, en de basismaatregelen zijn voor elke groep dezelfde. Updates, MFA en back-ups. Dat klopt voor een groot deel. De partner Storm-2570 toont zelfs dat dezelfde aanvallers vandaag Qilin inzetten en morgen een andere ransomware.

Toch verandert een profiel iets aan de volgorde. “Gebruik sterke wachtwoorden” helpt niet als die wachtwoorden in Chrome bewaard staan en met één script verdwijnen. Antivirus geeft een vals gevoel van veiligheid als niemand de blokkering van kwetsbare stuurprogramma’s heeft aangezet. Wie weet hoe Qilin binnenkomt, weet welke deur eerst dicht moet, en dat is voor een kmo met beperkte tijd de nuttigste informatie. Hetzelfde principe zit achter onze profielen van Stormous en Akira.

Wat zet een Vlaamse kmo eerst dicht tegen Qilin?

1. MFA op elke externe toegang en elke beheeromgeving, zonder uitzonderingen voor leveranciers of oude accounts. Kies waar het kan voor een app met nummercontrole of een fysieke sleutel in plaats van sms.
2. Geen bedrijfswachtwoorden in de browser. Schakel het opslaan van wachtwoorden in Chrome en Edge uit via groepsbeleid of Intune en geef medewerkers een zakelijke wachtwoordkluis.
3. Beheertools op afstand alleen waar ze nodig zijn. Tools zoals AnyDesk of ScreenConnect staan niet standaard op elk toestel.
4. De blokkering van kwetsbare stuurprogramma’s aanzetten in Microsoft Defender, zodat Qilin de beveiliging niet zomaar uitschakelt.
5. Aparte beheerdersaccounts voor IT-werk en een melding bij elke wijziging aan het standaard groepsbeleid.
6. Back-ups die een aanvaller niet kan wissen, offline of onveranderbaar, los van het gewone beheer, met een hersteltest die echt gebeurt.
7. Een draaiboek voor het geval het toch gebeurt, met het wijzigen van alle wachtwoorden voor externe diensten als vaste stap.

Staat de toegang die Qilin zoekt bij u open?

Qilin zoekt externe toegang zonder MFA en bekende lekken die nog openstaan. Cyberplan bekijkt met een gratis scan wat van uw organisatie vanaf het internet zichtbaar is en waar een bekende kwetsbaarheid openstaat. Wilt u weten of een aanvaller na die eerste stap ook echt verder raakt, dan test een penetratietest dat. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Vraag de gratis scan aan.

Veelgestelde vragen

Is Qilin hetzelfde als Agenda ransomware?

Ja. Agenda was de naam waaronder de groep medio 2022 begon, met ransomware geschreven in Go. Tegen september 2022 noemde ze zich Qilin, en later volgde een versie in Rust. Analyses en advisories gebruiken beide namen voor dezelfde groep, zoals het dreigingsprofiel van het Amerikaanse HHS uit juni 2024.

Heeft Qilin Belgische bedrijven aangevallen?

Qilin vermeldt Belgische organisaties op haar leksite, maar geen enkele daarvan is bevestigd door de organisatie zelf, het CCB of gevestigde media. Een vermelding is een claim van criminelen. In Nederland bevestigde afvalverwerker Omrin in oktober 2025 wel een ransomwareaanval die Qilin opeiste.

Waarom steelt Qilin wachtwoorden uit Google Chrome?

Met de wachtwoorden die medewerkers in hun browser bewaren, krijgen aanvallers toegang tot clouddiensten, bankomgevingen en leveranciersportalen buiten het bedrijf. Sophos zag in 2024 hoe Qilin daarvoor een script via het groepsbeleid van Windows uitrolde. Blokkeer daarom het opslaan van zakelijke wachtwoorden in de browser.

Bestaat er een gratis decryptor voor Qilin?

Nee, er is geen betrouwbare openbare decryptor voor Qilin bekend. Herstel zonder losgeld kan alleen met back-ups die de aanvaller niet kon bereiken of wissen. Daarna moeten alle wachtwoorden voor externe diensten gewijzigd worden, omdat Qilin die vaak al voor de versleuteling heeft gestolen.

Is Qilin gestopt na de arrestatie in oktober 2026?

Nee. Duitsland arresteerde in oktober 2026 een vermoedelijk kernlid van Qilin na uitlevering door Japan. De partners van de groep beschikken nog over de ransomware en werken zelfstandig. Een arrestatie vertraagt een groep soms, maar de toegangswegen die partners gebruiken, blijven dezelfde.