Akira ransomware: werkwijze en risico voor Belgische kmo’s

Akira ransomware duikt sinds 2023 op in bijna elk overzicht van de meest actieve afpersingsgroepen. De groep richt zich niet op multinationals met grote securityteams, maar op organisaties van de omvang van een Vlaamse kmo. En ze komen zelden binnen via een geavanceerde nieuwe techniek. Meestal gebruiken ze een bekend lek dat nog niet gepatcht is, of een account zonder tweede factor.

Dit profiel zet op een rij wat bevestigd is over Akira, hoe de groep te werk gaat volgens het MITRE ATT&CK-model, wat er bekend is over slachtoffers in België en Nederland, en welke maatregelen voor een kmo het verschil maken.

In het kort

• Akira is actief sinds maart 2023 en haalde volgens CISA tot eind september 2025 ongeveer 244 miljoen dollar aan losgeld op.
• De groep steelt eerst gegevens en versleutelt daarna, en valt zowel Windows- als Linux-servers en virtualisatieplatformen aan.
• De bekende toegangswegen zijn externe toegang zonder MFA en ongepatchte lekken in randapparatuur van SonicWall en Cisco, en in back-upsoftware van Veeam.
• Er zijn geen publiek bevestigde Belgische slachtoffers. Het Nederlandse NCSC noemt Akira wel bij de families die in 2025 in Nederland actief bleven.
• Voor recente versies bestaat geen gratis decryptor. Herstel steunt op back-ups die de aanvaller niet kan bereiken.

Wat is Akira ransomware?

Akira ransomware is een criminele groep die sinds maart 2023 bedrijven afperst met dubbele afpersing: eerst worden gegevens gestolen, daarna worden systemen versleuteld. Volgens het Amerikaanse agentschap CISA haalde Akira tot eind september 2025 ongeveer 244,17 miljoen dollar aan losgeld op. Doelwitten zijn vooral kleine en middelgrote organisaties.

Wat Akira onderscheidt van veel andere groepen, is de aandacht voor virtualisatie. Wie de hypervisor versleutelt, legt in één beweging alle virtuele servers erop plat. Daarom brengt de groep ook versies uit voor Linux, VMware ESXi en sinds 2025 Nutanix AHV. Hoe andere groepen zich tot Akira verhouden, leest u in onze profielen van de LockBit-groep en de Stormous-groep.

Zijn er Belgische slachtoffers van Akira?

Op 27 september 2026 is er geen Belgische organisatie die zelf, via een toezichthouder of via gevestigde media bevestigd heeft dat Akira achter een aanval zat. Namen die op de leksite van de groep verschijnen, zijn claims van de daders en worden hier niet overgenomen. Dat betekent niet dat Belgische bedrijven buiten schot blijven. Veel slachtoffers maken de dader nooit publiek, en het Centrum voor Cybersecurity België publiceert geen cijfers per groep.

In Nederland is het beeld duidelijker. Het NCSC noemt Akira in het Jaarbeeld Ransomware 2025, gepubliceerd in februari 2026, bij de families die daar in 2025 actief bleven, samen met onder meer Play en LockBit. Voor bedrijven in Vlaanderen, met dezelfde leveranciers en dezelfde software, is dat een relevant signaal. Een overzicht van bevestigde incidenten in België vindt u in ons overzicht van cyberaanvallen op Belgische bedrijven.

Hoe komt Akira binnen?

Akira komt vooral binnen langs twee wegen: via accounts voor externe toegang die geen MFA hebben, en via bekende lekken in randapparatuur en back-upsoftware die nog niet gepatcht zijn. Het gaat telkens om kwetsbaarheden waarvoor al lang een update bestaat. Alle vijf staan in de catalogus van CISA met actief misbruikte lekken, met de vermelding dat ransomwaregroepen ze gebruiken.

De Veeam-lekken zijn veelzeggend. Back-upsoftware is voor Akira geen bijzaak maar een doelwit: wie de back-upserver overneemt, kan de herstelmogelijkheden wissen voor de versleuteling begint. Hoe u CVE-nummers en ernstscores leest, legden we uit in ons artikel over CVSS en CVE.

De werkwijze van Akira volgens MITRE ATT&CK

Het CISA-advies beschrijft de technieken van Akira in de termen van MITRE ATT&CK. Wie dat model nog niet kent, vindt de uitleg in ons artikel over MITRE ATT&CK en de cyber kill chain.

Opvallend is hoeveel van die stappen met gewone beheertools gebeuren. AnyDesk, WinRAR en FileZilla staan op veel kantoor-pc’s legitiem geïnstalleerd. Daarom valt een aanval vaak pas op als de impactfase begint. En het kan snel gaan: volgens de CISA-update van november 2025 sluisden de daders in sommige incidenten al na iets meer dan twee uur gegevens weg.

Kan een bedrijf zijn bestanden terugkrijgen na Akira?

Voor recente versies van Akira bestaat geen gratis decryptor. Avast bracht in 2023 een tool uit die alleen werkt op de vroegste variant. Een onderzoeker publiceerde in maart 2025 een decryptor voor de Linux-versie, maar die werkt niet op de huidige versie. Herstel hangt dus af van back-ups die de aanvaller niet heeft kunnen bereiken. Er zijn ook geen arrestaties van leden van Akira bekend.

Of betalen dan een optie is, is een aparte afweging met juridische en ethische kanten. Die behandelen we in ransomware: betalen of niet? Hoe een ransomwareaanval in het algemeen verloopt en wat de eerste uren van de respons vragen, staat in onze gids over ransomware in België.

Wat betekent dit voor een Vlaamse kmo?

De werkwijze van Akira maakt duidelijk waar de prioriteiten liggen. Geen van de maatregelen hieronder vraagt een grote investering; ze vragen vooral discipline.

1. MFA op elke vorm van externe toegang. Elk account dat van buitenaf kan aanmelden, ook servicedeskaccounts en accounts van leveranciers, krijgt een tweede factor. Controleer ook oude accounts van ex-medewerkers.
2. Patchbeleid voor alles wat vanaf het internet bereikbaar is. De vijf lekken hierboven hadden al een update toen Akira ze misbruikte. Gebruik de KEV-catalogus van CISA als signaal: een lek dat erop staat en in uw omgeving voorkomt, krijgt voorrang.
3. Back-ups die de aanvaller niet bereikt. Minstens één kopie offline of onveranderbaar, en een beheeraccount voor de back-ups dat los staat van de gewone beheeraccounts. Houd ook de back-upsoftware zelf up-to-date.
4. Letten op ongewone beheeractiviteit. Een nieuwe installatie van software voor beheer op afstand, een uitgeschakelde antivirus of een verwijderde schaduwkopie zijn signalen die aandacht verdienen, ook buiten de kantooruren.
5. Een incidentresponsplan dat getest is. Wie belt wie, wie beslist over het uitschakelen van systemen, waar staan de contactgegevens als het mailsysteem uitvalt.

“Wij zijn te klein voor een groep als Akira”

Die gedachte is begrijpelijk, maar het CISA-advies wijst net kleine en middelgrote organisaties aan als belangrijkste doelwit. Akira kiest slachtoffers niet op naam maar op gelegenheid: een lek dat openstaat of een account zonder MFA. De keerzijde is geruststellend. Wie de bekende toegangswegen dicht heeft, is voor een opportunistische groep een veel minder aantrekkelijk doelwit.

Staan de toegangswegen van Akira bij u open?

De vraag is niet of Akira uw bedrijf kent, maar of de lekken en accounts die de groep zoekt bij u te vinden zijn. Cyberplan kijkt met een gratis scan naar wat vanaf het internet zichtbaar is en waar een bekende kwetsbaarheid openstaat. Wie verder wil gaan, laat met een penetratietest testen of een aanvaller na die eerste stap ook echt verder raakt.

Veelgestelde vragen

Wie zit er achter Akira ransomware?

Wie er achter Akira ransomware zit, is niet publiek bekend. Onderzoekers en CISA zien mogelijke banden met de vroegere groep Conti, onder meer in de code en in de manier van onderhandelen. Er zijn op 27 september 2026 geen arrestaties van leden van Akira bekend gemaakt.

Hoe herken ik een aanval van Akira?

Een aanval van Akira herkent u achteraf aan versleutelde bestanden met de extensie .akira of .powerranges en een losgeldbrief met de naam akira_readme.txt in de getroffen mappen. Eerder in de aanval zijn er signalen zoals nieuwe software voor beheer op afstand of een uitgeschakelde antivirus.

Is er een gratis decryptor voor Akira?

Nee, voor recente versies van Akira bestaat geen werkende gratis decryptor. De tool van Avast uit 2023 werkt alleen op de vroegste variant, en een Linux-decryptor uit maart 2025 werkt niet op de huidige versie. Herstel steunt op back-ups die offline of onveranderbaar bewaard zijn.

Waarom valt Akira VMware ESXi aan?

Akira valt VMware ESXi aan omdat één versleutelde hypervisor alle virtuele servers erop tegelijk platlegt. Dat vergroot de schade en de druk om te betalen. De groep heeft daarom aparte versies voor Linux en ESXi, en sinds 2025 ook voor Nutanix AHV.

Hoeveel losgeld heeft Akira al verdiend?

Volgens het bijgewerkte advies van CISA van november 2025 haalde Akira tot eind september 2025 ongeveer 244,17 miljoen dollar aan losgeld op. Het bedrag staat in het gezamenlijke advies van onder meer CISA en de FBI. Akira richt zich vooral op kleine en middelgrote organisaties.

Beschermt antivirus tegen Akira?

Antivirus alleen volstaat niet tegen Akira. De groep gebruikt legitieme beheertools die niet als malware herkend worden, en probeert beveiligingssoftware uit te schakelen voor de versleuteling begint. Detectie van ongewone beheeractiviteit, MFA op externe toegang en snelle patches voor bekende lekken wegen zwaarder.