Uw medewerker hoeft geen verdachte e-mail te openen om uw bedrijf te besmetten. Een zoekopdracht naar “gratis PDF-editor” en één klik op de bovenste advertentie volstaan. Dat is de kern van malvertising: cybercriminelen misbruiken legitieme advertentienetwerken en zoekresultaten om schadelijke software af te leveren, precies op het moment dat uw team gewoon zijn werk doet. Awarenesstraining die alleen op e-mailphishing focust, ziet die aanval niet aankomen.
In het kort
- Malvertising levert malware af via advertenties en zoekresultaten, zonder dat er een phishingmail aan te pas komt.
- Een besmetting kan gebeuren op legitieme, bekende websites via geautomatiseerde advertentieveilingen.
- De payload is vaak een infostealer die wachtwoorden, kredietkaartgegevens en actieve sessietokens steelt. Die tokens omzeilen zelfs MFA.
- Traditionele antivirus mist deze aanvallen; gedragsmatige endpointbeveiliging (EDR) is de sluitsteen.
- Onder NIS2 (artikel 21) is aantoonbare cyberhygiëne voor mens én systeem een verplichting.
Wat is malvertising en hoe werkt het?
Malvertising, een samentrekking van “malicious advertising”, is een aanvalstechniek waarbij criminelen kwaadaardige code injecteren in online advertentienetwerken of zoekresultaten. Bezoekt een gebruiker een besmette pagina of klikt hij op een gesponsorde advertentie, dan wordt schadelijke software op het toestel geïnstalleerd, vaak zonder dat er iets verdacht te zien is.
Het traject verloopt doorgaans zo. Een medewerker zoekt tijdens de werkdag naar een snelle tool, bijvoorbeeld een PDF-converter of een browserupdate. Boven de organische resultaten staat een advertentie van de aanvaller. De landingspagina is een nauwkeurige kopie van een echte softwareleverancier. De gebruiker installeert het programma, dat ogenschijnlijk gewoon werkt, terwijl op de achtergrond een infostealer opgeslagen wachtwoorden, kaartgegevens en sessietokens uit de browser haalt.
Besmetting kan zelfs zonder klik, via een zogenaamde drive-by download: de kwaadaardige advertentie misbruikt een lek in de browser of een verouderde plug-in om malware op de achtergrond te laden zodra de pagina opent.
Waarom Vlaamse kmo’s een aantrekkelijk doelwit zijn
Veel bestuurders gaan ervan uit dat hun organisatie beschermd is zodra het personeel een basistraining phishing heeft gevolgd. Malvertising maakt net gebruik van die blinde vlek door de aanval naar de gewone surfsessie te verplaatsen. Daar komt bij dat medewerkers in veel kmo’s lokale installatierechten hebben, of dat er geen centrale controle is op welke software mag draaien.
De cijfers onderstrepen de schaal. Volgens de ENISA Threat Landscape vormen phishing en malvertising samen de belangrijkste initiële inbraakvector, goed voor ongeveer 60% van de vastgestelde inbraken bij Europese organisaties. Na een inbraak bestaat 87,3% van de aangetroffen schadelijke code uit ransomware, banktrojans en infostealers. Het Centrum voor Cybersecurity België verwerkt via verdacht@safeonweb.be dagelijks meer dan 40.000 meldingen van verdachte berichten en websites.
Zo zien de aanvallen er vandaag uit
Valse software via Google Ads
Het CCB waarschuwde expliciet voor trojans die Windows-gebruikers viseren via advertenties en nepwebsites. Onder de geïdentificeerde besmette toepassingen zaten namen als AppSuite PDF Editor, ManualFinder, Onestart AI Browser, BrowserAssistant en DesktopBar. Stuk voor stuk zien ze eruit als handige hulpmiddelen, terwijl ze een infostealer meebrengen.
De ClickFix-techniek
Bij ClickFix verschijnt na een klik op een besmette advertentie een pop-up die lijkt op een systeemfout of een reCAPTCHA-verificatie. De gebruiker krijgt de instructie om een “oplossing” uit te voeren door een commando te kopiëren en via Windows + R in te plakken. Dat commando roept vertrouwde Windows-hulpprogramma’s aan om schadelijke code binnen te halen. Zo werd onder meer de ACR Stealer geïnstalleerd, die bedrijfstokens en browsergegevens buitmaakt. Onthoud dit als vuistregel voor uw team: een legitieme website vraagt u nooit om opdrachten in te plakken in de Windows-opdrachtprompt of PowerShell.
Waarom awareness alleen niet meer volstaat
Menselijke oplettendheid blijft essentieel, maar ze heeft een grens. Aanvallers genereren dagelijks tussen 450.000 en 560.000 nieuwe malwarevarianten en gebruiken geautoriseerde Windows-bestanden om detectie te omzeilen. In 81% van de interactieve inbraken wordt zelfs helemaal geen klassieke malware gebruikt, maar werken aanvallers met gestolen inloggegevens of legitieme systeemtools. En moderne infostealers stelen niet alleen wachtwoorden, maar ook actieve sessietokens, waarmee ze inloggen zonder dat MFA opnieuw wordt getriggerd. Tegen onzichtbare dreigingen heeft u een technisch vangnet nodig.
Een concreet beschermingsplan: mens én techniek
Op menselijk vlak breidt u de awareness uit van e-mail naar surfgedrag: leer medewerkers het verschil tussen een organisch resultaat en een advertentie (aangeduid met “Gesponsord”), en stimuleer een meldcultuur waarin twijfelachtige downloads meteen bij IT belanden. Technisch bouwt u meerdere lagen op elkaar:
- DNS-filtering en ad-blocking voorkomen dat kwaadaardige advertenties of redirects überhaupt laden.
- Minimale rechten beletten dat gebruikers zelf ongeautoriseerde installaties uitvoeren.
- Browserhardening en extensiebeheer houden ongewenste uitbreidingen buiten.
- Geautomatiseerd patchbeheer dicht de lekken die drive-by downloads misbruiken.
- Endpoint Detection & Response (EDR) vormt de sluitsteen.
Waar klassieke antivirus naar bekende handtekeningen kijkt, analyseert EDR het werkelijke gedrag van processen. Roept een browser plots PowerShell aan, dan grijpt de software in en isoleert de dreiging voordat er schade ontstaat. In onze gids over EDR voor kmo’s leest u hoe die gedragsmatige beveiliging concreet werkt.
Uw blinde vlek dichten met Cyberplan
Malvertising valt buiten het bereik van een klassieke phishingtraining, en dat maakt het net zo gevaarlijk. Cyberplan pakt beide kanten aan: we trainen uw team op het herkennen van gesponsorde valstrikken en ClickFix-lures, en we toetsen met een audit of uw technische lagen (rechtenbeheer, patchbeleid, EDR) de onzichtbare aanvallen effectief tegenhouden. Zo maakt u van een blinde vlek een gecontroleerd risico. Plan een vrijblijvende kennismaking om uw huidige weerbaarheid te laten doorlichten.
Veelgestelde vragen
Is malvertising hetzelfde als phishing?
Nee. Phishing verloopt via directe misleiding, meestal per e-mail of sms, waarbij het slachtoffer wordt verleid iets te openen of in te vullen. Malvertising treft de gebruiker tijdens het gewone surfen of zoeken, zonder dat er een verdachte e-mail aan te pas komt.
Kan een toestel besmet raken zonder op een advertentie te klikken?
Ja, via een drive-by download. De kwaadaardige advertentie misbruikt een lek in de browser of een verouderde plug-in om malware op de achtergrond te downloaden en uit te voeren zodra de pagina laadt.
Beschermt MFA ons tegen de gevolgen van een infostealer?
Niet volledig. Moderne infostealers stelen naast wachtwoorden ook actieve sessietokens uit de browser. Daarmee kan een aanvaller inloggen zonder dat er een nieuwe MFA-prompt verschijnt. Endpointbeveiliging en snelle sessie-intrekking blijven daarom nodig.
Wat doen we meteen bij een vermoeden van besmetting?
Isoleer het toestel direct van het netwerk (wifi en kabel uit), verwittig uw IT-verantwoordelijke, voer een volledige EDR-scan uit en wijzig alle wachtwoorden en actieve sessies van de gebruiker vanaf een veilig toestel. Verdachte sites kunt u melden via verdacht@safeonweb.be.
