The Gentlemen is een Russischtalige ransomwaregroep die zich in juli 2025 afsplitste van Qilin en volgens het Centrum voor Cybersecurity België binnen een jaar uitgroeide tot een van de twee actiefste ransomwaregroepen ter wereld. Het CCB bevestigt minstens zes Belgische slachtoffers in 2026.
De groep gebruikt geen onbekende lekken. Ze komt binnen via bekende kwetsbaarheden in firewalls en gestolen inloggegevens voor externe toegang, schakelt de beveiliging uit en verspreidt zich zelf over het netwerk. Wie randapparatuur bijwerkt en MFA op elke externe toegang zet, sluit de deuren die deze groep het vaakst gebruikt.
In het kort
- Het CCB publiceerde op 7 oktober 2026 een rapport over The Gentlemen en telt minstens zes Belgische slachtoffers in 2026, waarschijnlijk meer.
- Het aantal slachtoffers steeg volgens het CCB van ongeveer 40 in het laatste kwartaal van 2025 tot 269 in het tweede kwartaal van 2026.
- De groep werkt met partners die 90 procent van het losgeld houden, en levert hen een kant-en-klare set: toegang, een programma om beveiliging uit te schakelen en ransomware die zich zelf verspreidt.
- Productiebedrijven worden het vaakst getroffen, maar de doelwitkeuze is opportunistisch.
- De eerste controles voor een kmo: firewalls en andere randapparatuur bijwerken, MFA op elke externe toegang, en back-ups die een aanvaller niet kan wissen.
Wat is The Gentlemen ransomware?
The Gentlemen is een criminele groep die ransomware verhuurt aan partners, zogenaamde affiliates. Die partners breken in, de groep levert de software en de infrastructuur, en het losgeld wordt verdeeld. Microsoft volgt de beheerders onder de naam Storm-2697. Het CCB schat met matig vertrouwen dat het om een financieel gemotiveerd crimineel bedrijf gaat in Rusland of een Russischtalig land, waarschijnlijk gedoogd door de Russische staat, zonder bewijs dat die de groep aanstuurt.
| Profiel | The Gentlemen |
|---|---|
| Andere naam | Storm-2697 (Microsoft) |
| Ontstaan | Juli 2025, als afsplitsing van het partnerprogramma van Qilin; partners welkom sinds september 2025 |
| Model | Ransomware-as-a-service: partners houden 90 procent van het losgeld |
| Toegang | Bekende lekken in systemen aan het internet, vooral firewalls; gestolen of geraden inloggegevens voor externe toegang |
| Afpersing | Dubbele afpersing: eerst gegevens stelen, dan versleutelen, en dreigen met publicatie op de leksite |
| Systemen | Windows, en ook VMware ESXi-servers |
| Herkenbaar aan | Versleutelde bestanden met de extensie .umc16h (Go-variant, volgens Microsoft) |
| Doelwitten | Opportunistisch; de productiesector het vaakst |
Een groep die snel groot wordt, vindt meestal geen nieuwe aanvalstechnieken uit. Het CCB schrijft het letterlijk zo: de dreiging komt minder uit technische vernieuwing dan uit een geïndustrialiseerd platform dat het inbreken voor partners makkelijk maakt.
Wat zegt het CCB over België?
Het Centrum voor Cybersecurity België bracht op 7 oktober 2026 een dreigingsrapport over The Gentlemen uit. Voor een Belgische kmo zijn vier vaststellingen belangrijk.
- De groep is in België actief. Het CCB bevestigt minstens zes Belgische slachtoffers in 2026 en noemt dat aantal waarschijnlijk te laag. Elders in de Europese Unie trof de groep ook kritieke infrastructuur.
- Ze groeit snel. Van ongeveer 40 slachtoffers in het vierde kwartaal van 2025 naar 269 in het tweede kwartaal van 2026. In juni 2026 claimde ze in één maand meer slachtoffers dan Qilin.
- Ze gebruikt geen zero-days. Alle waargenomen inbraken steunen op bekende, al gepatchte lekken en op publiek beschikbare aanvalscode. Wie bijwerkt, is dus al een stuk minder bereikbaar.
- Ze heeft toegang op voorraad. De groep beheert een voorraad van naar schatting 14.700 al gecompromitteerde FortiGate-firewalls en 969 geldige inloggegevens voor externe toegang via die toestellen, verkregen door wachtwoorden massaal uit te proberen. Partners krijgen die toegangen aangereikt.
Dat laatste punt maakt het verschil. Een partner hoeft geen bedrijf uit te kiezen of zelf binnen te geraken: hij neemt een toegang uit de voorraad. De doelwitkeuze is daardoor opportunistisch. Wie een kwetsbaar toestel aan het internet heeft hangen of een wachtwoord gebruikt dat te raden valt, kan aan de beurt komen, ongeacht de sector of de grootte van het bedrijf.
Hoe komt The Gentlemen binnen?
Volgens het CCB, Kaspersky en Unit 42 van Palo Alto Networks gebruiken de groep en haar partners vooral drie toegangswegen:
- Bekende lekken in randapparatuur. Firewalls en andere toestellen die vanaf het internet bereikbaar zijn, waarvoor de fabrikant al een update uitbracht die niet werd geïnstalleerd.
- Gestolen of geraden inloggegevens voor externe toegang. Gelekte wachtwoorden, standaardwachtwoorden of wachtwoorden die met brute force geraden werden, op accounts zonder MFA.
- Makelaars in toegang. Criminelen die zelf inbreken en die toegang doorverkopen. Kaspersky zag gevallen waarin de toegang al lang voor de aanval bestond, vermoedelijk via een andere partij.
De groep richt zich dus vooral op de technische toegangen van een bedrijf. Hoe zo’n aanval in fasen verloopt, staat in ons artikel over MITRE ATT&CK en de cyber kill chain.
Wat gebeurt er eens de groep binnen is?
Microsoft beschreef in mei 2026 hoe de ransomware te werk gaat. Voor de versleuteling begint, schakelt ze de ingebouwde beveiliging van Windows uit, wist ze de schaduwkopieën en de logboeken, en stopt ze processen van onder meer beveiligings-, back-up- en databasesoftware. Het CCB beschrijft een aparte dienst voor partners om endpointbeveiliging uit te schakelen, een zogenaamde EDR-killer, die werkt met kwetsbare stuurprogramma’s.
Daarna verspreidt de ransomware zich zelf. Ze maakt van het eerste systeem een verdeelpunt en probeert via verschillende Windows-beheertools andere computers en servers te bereiken; ook gedeelde mappen en netwerkschijven worden versleuteld. De gestolen gegevens dienen als tweede drukmiddel: wie niet betaalt, ziet ze verschijnen op de leksite.
Wat dat voor een kmo betekent: een aanval die eenmaal loopt, raakt in korte tijd veel systemen tegelijk. Herstel steunt dan op back-ups die de aanvaller niet kan bereiken of wissen. Hoe u die opzet, leest u in ons artikel over de 3-2-1-1-0-regel voor back-ups.
Welke Belgische bedrijven zijn getroffen?
Het CCB bevestigt zes Belgische slachtoffers, maar noemt geen namen in zijn publieke samenvatting. Op de leksite van de groep en bij trackers die zulke sites volgen, staan wel Belgische namen. Dat zijn claims van criminelen: geen enkele daarvan is door de organisatie zelf, het CCB of gevestigde media aan The Gentlemen gekoppeld. Daarom noemen we ze niet.
Hoe groot het verschil tussen claim en bevestiging is, toont een telling van Comparitech van augustus 2026: van de 600 aanvallen die The Gentlemen in 2026 claimde, werden er 68 door de getroffen organisatie zelf bevestigd. In Nederland bevestigde ijsstadion Thialf in juli 2026 een aanval die de groep opeiste, met volgens Thialf een verwaarloosbare impact.
The Gentlemen naast Qilin, Akira en Play
| The Gentlemen | Qilin | Akira | Play | |
|---|---|---|---|---|
| Actief sinds | Juli 2025 | Medio 2022 (eerst Agenda) | Maart 2023 | Juni 2022 |
| Model | Partners houden 90 procent | Partners houden 80 tot 85 procent | Dubbele afpersing met partners | Vermoedelijk gesloten groep |
| Typische toegang | Lekken in firewalls, gestolen inloggegevens | Externe toegang zonder MFA | Externe toegang zonder MFA, lekken in randapparatuur | Gestolen accounts, bekende lekken |
| Bevestigd in België | Minstens zes slachtoffers (CCB) | Geen bevestigde | Geen publiek bevestigde | Stad Antwerpen (2022) |
De groepen lijken op elkaar, en dat is geen toeval: The Gentlemen komt rechtstreeks uit het partnerprogramma van Qilin. De volledige profielen staan in onze artikels over Qilin, Akira en Play.
Wat controleert een kmo eerst?
Een profiel van een groep is geen reden om nieuwe tools te kopen. Het is wel een reden om na te gaan of de basis echt op orde is, en in welke volgorde. Bij deze groep zijn dat vier controles:
- Randapparatuur bijwerken. Weet welke firewalls en andere toestellen vanaf het internet bereikbaar zijn, en installeer de updates van de fabrikant zonder uitstel. Hoe u dat organiseert, staat in ons artikel over patchmanagement voor kmo’s.
- MFA op elke externe toegang. Ook op beheeraccounts van toestellen en op accounts van leveranciers. Een geraden wachtwoord alleen mag niet volstaan om binnen te geraken.
- Beveiliging die zich niet laat uitschakelen. Vraag na of de beveiliging op uw computers en servers beschermd is tegen uitschakelen; Microsoft noemt dat tamper protection.
- Back-ups buiten bereik. Minstens één kopie die de aanvaller niet kan bereiken of wissen, en een hersteltest die echt gebeurd is.
Was een toestel in het verleden kwetsbaar, vervang dan ook de inloggegevens voor externe toegang: de groep beheert volgens het CCB honderden geldige inloggegevens die al eerder buitgemaakt werden. Bent u nu getroffen, volg dan de eerste zeven stappen na een hack. Over de vraag of u losgeld betaalt, schreven we een apart artikel: ransomware betalen of niet.
Staan uw deuren open?
Met een pentest van uw infrastructuur gaat Cyberplan na of de toegangswegen die deze groep gebruikt bij u openstaan: systemen die vanaf het internet bereikbaar zijn, externe toegang en de rechten eens iemand binnen is. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Vraag de gratis scan aan.
Veelgestelde vragen
Wat is The Gentlemen ransomware?
The Gentlemen is een Russischtalige ransomwaregroep die sinds juli 2025 actief is en haar software verhuurt aan partners. De groep splitste zich af van Qilin. Volgens het Centrum voor Cybersecurity België groeide ze binnen een jaar uit tot een van de twee actiefste ransomwaregroepen ter wereld, met minstens zes Belgische slachtoffers in 2026.
Is The Gentlemen actief in België?
Ja. Het Centrum voor Cybersecurity België bevestigt in zijn rapport van 7 oktober 2026 minstens zes Belgische slachtoffers in 2026 en schrijft dat dat aantal waarschijnlijk te laag is. De groep kiest haar doelwitten opportunistisch. Productiebedrijven worden het vaakst getroffen, maar ook overheid, zorg en dienstverlening staan op de lijst.
Hoe komt The Gentlemen binnen?
Via bekende, al gepatchte lekken in firewalls en andere systemen die vanaf het internet bereikbaar zijn, en via gestolen of geraden inloggegevens voor externe toegang. Het CCB zag in 2026 geen zero-days. De groep beheert een voorraad van naar schatting 14.700 al gecompromitteerde firewalls die ze aan haar partners doorgeeft.
Wat is het verband tussen The Gentlemen en Qilin?
The Gentlemen ontstond in juli 2025 als afsplitsing van het partnerprogramma van Qilin, volgens het CCB. In juni 2026 claimde The Gentlemen in één maand meer slachtoffers dan Qilin. Beide groepen verhuren hun ransomware aan partners; bij The Gentlemen houden die 90 procent van het losgeld.
Wat is een EDR-killer?
Een EDR-killer is software die de beveiliging op computers en servers uitschakelt voor de versleuteling begint, vaak via een kwetsbaar stuurprogramma. Volgens het CCB biedt The Gentlemen zo’n programma als dienst aan zijn partners aan. Beveiliging die beschermd is tegen uitschakelen, maakt dat moeilijker.
Bestaat er een decryptor voor The Gentlemen?
Er is geen publiek bekende decryptor voor The Gentlemen. Herstel steunt daarom op back-ups die de aanvaller niet kon bereiken of wissen. Bewaar minstens één kopie offline of onveranderbaar en test het terugzetten, zodat u bij een aanval weet hoe lang herstel duurt.
