De meeste bedrijven ontdekken een ransomware-aanval op het moment dat het al te laat is: maandagochtend, wanneer niemand nog kan inloggen en er een tekstbestand op het bureaublad staat. Op dat ogenblik zijn de aanvallers gemiddeld al vijf tot elf dagen binnen.
Die verblijftijd is waar het verhaal echt begint. In die dagen hebben ze uw netwerk verkend, beheerdersrechten verworven, bestanden gekopieerd naar buiten en uw back-ups gesaboteerd. De versleuteling is het sluitstuk, niet de aanval.
In het kort
- Een gerichte aanval verloopt in zeven fasen. De zichtbare fase is de laatste.
- Bij meer dan 70 procent van de aanvallen wordt vooraf data gestolen. Daardoor is een ransomware-incident in België vrijwel altijd tegelijk een meldplichtig datalek.
- Twee klokken lopen parallel: 24 uur naar het CCB voor wie onder NIS2 valt, 72 uur naar de Gegevensbeschermingsautoriteit zodra persoonsgegevens betrokken zijn.
- In 89 tot 96 procent van de aanvallen richten criminelen zich doelgericht op de back-upomgeving. In 34 procent van de gevallen lukt dat.
- Volgens het CCB was 38 procent van de Belgische incidenten terug te voeren op accountovername. Consequente meervoudige authenticatie had 80 procent van de ernstige hacks voorkomen.
Hoe verloopt een ransomware-aanval?
Een gerichte ransomware-aanval verloopt gefaseerd. Criminelen verkrijgen toegang via gestolen inloggegevens of een ongepatchte kwetsbaarheid, en verplaatsen zich daarna gemiddeld vijf tot elf dagen ongemerkt door het netwerk. In die verblijftijd verhogen zij hun rechten, stelen zij bedrijfsdata en saboteren zij de back-ups. Pas daarna volgt de versleuteling.
Het verschil met wat de meeste mensen zich voorstellen
Klassieke ransomware verspreidde zich geautomatiseerd via massamails en versleutelde losse werkstations. Dat model bestaat nog, maar het is niet waar Belgische kmo’s vandaag mee te maken krijgen. Een moderne aanval wordt met de hand gestuurd. Er zit een mens aan de andere kant die uw omgeving bekijkt, beslist waar de waardevolle data staat en kiest wanneer hij toeslaat.
De aanvalsketen in zeven fasen
De tabel hieronder is opgebouwd uit geaggregeerd forensisch onderzoek. De tijdsindicaties zijn medianen uit internationale incidentdata, niet uit Belgische dossiers; de Belgische cijfers volgen verderop.
| Fase | Wat er gebeurt | Typische duur | Waaraan u het kunt zien | Bron |
|---|---|---|---|---|
| 1. Initiële toegang | Misbruik van gestolen inloggegevens, of uitbuiting van een kwetsbaarheid in een publiek bereikbaar systeem. | Minuten tot uren | Mislukte aanmeldpogingen, aanmeldingen vanuit afwijkende locaties, toegang buiten kantooruren. | Mandiant M-Trends 2025 (kalenderjaar 2024); CCB-analyse 2024-2025 |
| 2. Verkenning en rechtenverhoging | In kaart brengen van de domeinstructuur en beheerdersgroepen; uitlezen van wachtwoordgegevens uit het werkgeheugen. | Mediaan 11 uur tot de eerste aanval op de directoryomgeving; de volledige fase duurt 1 tot 3 dagen | Beheerprocessen op gewone werkplekken, verdachte authenticatieaanvragen, ongeautoriseerde opvragingen van beheeraccounts. | Sophos Active Adversary Report 2025 (incidentonderzoeken over 2024) |
| 3. Laterale verplaatsing | Verplaatsing naar de centrale servers, aanmaken van schaduwaccounts en installatie van blijvende toegangskanalen. | 29 tot 62 minuten tussen twee systemen; de volledige fase duurt 2 tot 4 dagen | Beheerverbindingen tussen werkstations die dat normaal niet doen, nieuwe geplande taken, gewijzigde services. | CrowdStrike Threat Report 2024-2026; Sprocket Security 2024 |
| 4. Data-exfiltratie | Financiële documenten, personeelsdossiers en contracten worden gezocht, gecomprimeerd en naar buiten gestuurd. | Mediaan 73 uur na binnenkomst; de overdracht zelf duurt 2 tot 6 uur | Pieken in uitgaand verkeer naar onbekende adressen of publieke opslagdiensten, buiten kantooruren. | Sophos Threat Intelligence 2025; Coveware Q4 2024 |
| 5. Sabotage van de back-up | Schaduwkopieën worden verwijderd, back-uprepositories overschreven of ontkoppeld, beveiligingsdiensten uitgezet. | Enkele uren, vlak voor de versleuteling | Commando’s die schaduwkopieën verwijderen, beveiligingsdiensten die geforceerd stoppen. | Veeam Ransomware Trends 2024-2025 (n=1.200 organisaties) |
| 6. Versleuteling en afpersing | De gijzelsoftware wordt uitgerold over servers en werkplekken, met een losgeldbericht. | 2 tot 5 uur, meestal ’s nachts of in het weekend | Massale wijziging van bestandsextensies, plotse belasting op de opslag, geblokkeerde schermen. | Mandiant M-Trends 2025 |
| 7. Respons en herstel | Isolatie, forensisch onderzoek, wettelijke meldingen en gecontroleerd herstel vanaf gevalideerde bronnen. | Primair dataherstel vergt 1 tot 3 weken | Niet van toepassing; dit is uw fase. | IBM Cost of a Data Breach 2024-2025 (n=600) |
Fase 5 verdient uw aandacht. Aanvallers weten dat uw back-up hun grootste obstakel is, dus die pakken ze eerst. Pas als uw herstelmogelijkheid weg is, begint de versleuteling.
Waarom een ransomware-aanval in België altijd ook een datalek is
Het klassieke scenario waarin data versleuteld wordt en na betaling weer vrijkomt, bestaat nauwelijks nog. Criminelen werken met escalatielagen.
- Enkelvoudige afpersing: versleuteling met een losgeldeis voor de ontsleutelsleutel.
- Dubbele afpersing: voorafgaande diefstal van data, met de dreiging die te publiceren wanneer u niet betaalt.
- Drievoudige afpersing: het rechtstreeks benaderen van uw klanten, leveranciers of medewerkers wier gegevens zijn ontvreemd, om de druk op te voeren.
Uit marktanalyses blijkt dat bij meer dan 70 procent van de hedendaagse aanvallen effectief data wordt buitgemaakt. Dat verandert de aard van het incident volledig. Zolang enkel uw systemen versleuteld zijn en u een werkende back-up hebt, is het een operationele verstoring. Zodra er personeelsbestanden of klantgegevens vertrokken zijn, loopt er een wettelijke klok.
Twee klokken die parallel lopen
Onder artikel 33 van de AVG meldt u een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 72 uur na kennisname aan de Gegevensbeschermingsautoriteit. Die plicht vervalt alleen wanneer het onwaarschijnlijk is dat er risico is voor de betrokkenen. Bij geëxfiltreerde personeels- of klantgegevens is dat risico er. Gaat het om identiteitsdocumenten of financiële gegevens, dan verplicht artikel 34 u om de betrokkenen zelf ook te informeren. De criteria staan in ons artikel over de 72-uursregel.
Valt u onder de Belgische NIS2-wet, dan loopt daarnaast een tweede procedure via het Safeonweb@work-portaal van het CCB: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur, eventueel een tussentijds voortgangsrapport, en een eindrapport binnen één maand. Die termijnen staan los van de AVG-melding. U doet dus twee dingen tegelijk.
Het niet naleven van de NIS2-meldplicht kan leiden tot boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
Waarom herstel vanaf back-up zo vaak misloopt
Volgens onderzoek van Veeam proberen aanvallers in 89 tot 96 procent van de gevallen de back-upomgeving te vernietigen. In 34 procent van de gevallen lukt dat. Dat verklaart waarom volgens het Sophos State of Ransomware 2025 rapport slechts 54 procent van de getroffen organisaties erin slaagt data succesvol terug te zetten, het laagste percentage in zes jaar.
In evaluaties keren vijf oorzaken terug.
De back-up hangt aan hetzelfde beheerdersdomein. Dit is de meest voorkomende ontwerpfout bij kmo’s. Wanneer back-upservers en netwerkopslag gekoppeld zijn aan uw centrale domein, beschikt een aanvaller die domeinbeheerder wordt over precies dezelfde rechten op die opslag. Back-updatabases worden gewist met de gewone beheercommando’s, nog voor de versleuteling begint.
De opslag is niet onveranderlijk. Bestandssynchronisatie naar een externe locatie is geen back-up. Zonder een vergrendeling die overschrijven onmogelijk maakt, kan een gestolen beheerderstoken de bewaartermijn gewoon verkorten of uitzetten.
Het herstel is nooit getest. Een back-up waarvan u de terugzetting niet periodiek hebt beproefd, is een aanname. Tijdens een crisis ontdekken bedrijven dat kopieën corrupt zijn, dat databases buiten de retentiescope vielen, of dat er geen hardware beschikbaar is die met de archieven overweg kan.
De hersteltijd is onrealistisch ingeschat. Zelfs met intacte cloudback-ups loopt u tegen bandbreedte aan. Enkele terabytes terughalen via een gewone bedrijfsverbinding kost dagen tot weken. Weinig bedrijven kunnen dat overbruggen.
De achterdeur komt mee terug. Wie back-ups terugzet zonder eerst de oorzaak van de inbraak te achterhalen, herstelt de webshell of het schaduwaccount mee. Enkele dagen later begint het opnieuw.
Hoe u een back-uparchitectuur opzet die dit opvangt, staat in ons artikel over de 3-2-1-1-0-regel.
De belwijzer: wie contacteert u in welke volgorde?
Tijdens een crisis bepaalt de volgorde van uw telefoontjes of u bewijsmateriaal behoudt, of uw verzekering uitkeert en of u binnen de wettelijke termijnen blijft.
- Uw incident-responsepartner, binnen 0 tot 2 uur. Isoleer de getroffen systemen fysiek en draadloos, maar schakel ze niet uit. Het werkgeheugen bevat actieve processen en soms sleutelmateriaal dat forensisch onderzoek nodig heeft. Loopt er nu iets, dan kunt u rechtstreeks escaleren via onze interventiepagina.
- Uw cyberverzekeraar, binnen 4 tot 24 uur. Kijk uw polis na. De meeste polissen vereisen voorafgaande goedkeuring voordat u forensische experts, onderhandelaars of juristen contracteert. Te late melding kan de dekking volledig doen vervallen.
- Het CCB, binnen 24 uur. Verplicht voor NIS2-entiteiten via het Safeonweb@work-portaal. Voor andere organisaties vrijwillig, maar nuttig: het CCB levert dreigingsindicatoren en gaat na of er publiek beschikbare ontsleutelsleutels bestaan voor de gebruikte variant.
- De Gegevensbeschermingsautoriteit, binnen 72 uur. Zodra er een vermoeden bestaat van compromittering van persoonsgegevens. Loopt uw forensisch onderzoek nog, dan kunt u de melding in fasen aanvullen.
- De politie, binnen 24 tot 48 uur. Na de eerste stabilisatie. Een proces-verbaal via uw lokale politiezone of de gespecialiseerde eenheid is doorgaans noodzakelijk voor uw verzekeringsdossier.
| Instantie | Termijn | Kanaal | Verplicht? |
|---|---|---|---|
| Incident-responsepartner | 0 tot 2 uur | Rechtstreekse noodlijn | Operationeel noodzakelijk |
| Cyberverzekeraar | 4 tot 24 uur, zie polis | Noodnummer van de maatschappij | Contractueel vereist voor dekking |
| CCB en CERT.be | 24 uur vroege waarschuwing, 72 uur incidentmelding | atwork.safeonweb.be, of cert@cert.be voor vrijwillige melding | Verplicht voor NIS2-entiteiten |
| Gegevensbeschermingsautoriteit | 72 uur na kennisname | Online meldloket datalekken | Wettelijk verplicht onder artikel 33 AVG |
| Politie | 24 tot 48 uur | Aangifte bij de lokale politiezone | Sterk aanbevolen, vereist voor verzekering |
De cijfers voor België
Het CCB registreert gemiddeld 22 ransomware-gerelateerde aanvallen per dag op Belgische doelwitten, van verkennende pogingen tot geslaagde inbraken. Naar schatting 42 procent van de Belgische kmo’s kreeg al met een vorm van cyberaanval te maken, terwijl 30 procent van de ondernemingen geen enkele formele beveiligingsstrategie heeft.
Opvallend is het verschil tussen twee registraties. De Federale Politie noteerde in 2024 149 processen-verbaal met ransomware als feit, tegenover 158 in 2023 en 159 in 2022. Het CCB behandelde in 2025 daarentegen 121 diepgaand onderzochte incidenten, met ICT (24 procent), handel (20 procent) en industrie (13 procent) als meest getroffen sectoren. Dat verschil is het dark number: veel bedrijven melden wel bij het responscentrum of bij hun verzekeraar, maar dienen geen strafklacht in.
Wat aantoonbaar helpt
Uit de Belgische incidentanalyses komen zes maatregelcategorieën naar voren. Geen daarvan is een product.
- Meervoudige authenticatie op alles wat van buitenaf bereikbaar is. Accountovername is de voornaamste toegangsweg. Het CCB stelt dat consequente toepassing 80 procent van de ernstige hacks had voorkomen.
- Beperking van beheerdersrechten. Scheid beheerdersaccounts strikt van dagelijkse accounts en blokkeer het lokaal opslaan van inloggegevens. Dat haalt de snelheid uit fase 2 en 3.
- Gestructureerd kwetsbaarhedenbeheer. Ongepatchte systemen die van buitenaf bereikbaar zijn, vormen de tweede toegangspoort: 33 procent van de Belgische inbraken.
- Terugkerende simulatie en training. Phishing blijft de voornaamste manier om aan die eerste inloggegevens te komen. Simulaties verhogen vooral de meldingsbereidheid, en dat is wat u tijd geeft.
- Onveranderlijke en gescheiden back-uparchieven, met periodieke hersteltesten in een geïsoleerde omgeving.
- Onafhankelijke toetsing. Bij 71 procent van de geslaagde inbraken ligt een configuratiefout aan de basis. Die vindt u met een audit of penetratietest, niet met een scanner alleen.
Twee aannames die niet standhouden
“Wij zijn te klein en hebben niets dat iemand wil versleutelen”
De redenering klopt niet met hoe aanvallers doelwitten kiezen. De initiële toegangsfase verloopt zelden via handmatige selectie. Criminelen draaien geautomatiseerde scanners over het volledige Belgische adresbereik en compromitteren wat kwetsbaar is, ongeacht omzet of naamsbekendheid.
Bovendien gijzelen ze niet de waarde van uw data voor derden, maar de onmisbaarheid ervan voor uzelf. Zodra uw ERP, orderverwerking of productie stilvalt, verliest ook een klein bedrijf duizenden euro’s per dag. Dat is het drukmiddel. De officiële cijfers bevestigen het: 42 procent van de Belgische kmo’s kreeg al met een aanval te maken.
“Onze back-up staat in de cloud, dus we zijn veilig”
Synchronisatie is geen back-up. Wordt een lokaal bestand versleuteld, dan synchroniseert uw cloudtoepassing die versleutelde versie gewoon mee en overschrijft ze de vorige.
Daarnaast loggen aanvallers met gestolen tokens rechtstreeks in op cloudbeheerportalen, waar ze bewaartermijnen wissen en momentopnamen vernietigen voordat de versleuteling start. En zelfs als alles intact blijft, blijft de bandbreedte een fysieke grens. Cloudopslag beschermt pas wanneer ze onveranderlijk is ingesteld en losstaat van uw gewone beheeridentiteiten.
Waar u verder leest
Deze gids beschrijft het verloop. Voor de vervolgvragen zijn er aparte artikels. Voor de preventieve maatregelen is dat de praktische gids voor Vlaamse kmo’s. Voor de losgeldvraag het artikel over betalen, en voor de financiële kant de kostenanalyse. Hoe een Vlaams productiebedrijf een aanval afwendde, staat in deze case. Het draaiboek dat u vooraf opstelt, staat in het artikel over het incident-responseplan.
Wat u nu kunt nagaan
De fasen 1 tot 3 zijn de enige waarin u een aanval nog kunt stoppen. Dat betekent dat de vraag niet is of uw versleuteling snel opgemerkt wordt, maar of iemand het merkt wanneer een account vanuit een ander land aanmeldt of wanneer een werkplek plots beheercommando’s uitvoert.
Cyberplan brengt met een scan in kaart waar uw omgeving vandaag van buitenaf zichtbaar is, waar meervoudige authenticatie ontbreekt en welke systemen achterlopen op patches. Dat levert een lijst op die aansluit bij de fasen hierboven, zodat u weet welke deur het eerst dichtmoet.
Veelgestelde vragen
Wat is ransomware precies?
Ransomware, of gijzelsoftware, is kwaadaardige software die bestanden, servers of complete IT-omgevingen onbruikbaar maakt door versleuteling. De aanvallers eisen vervolgens betaling, meestal in cryptomunten, in ruil voor een ontsleutelsleutel.
Hoe lang zit een aanvaller in het netwerk voor de versleuteling?
De mediane verblijftijd ligt tussen vijf en elf dagen. In die periode verkennen aanvallers het netwerk, verhogen zij hun rechten, stelen zij bestanden en saboteren zij de back-ups. De versleuteling volgt pas wanneer uw herstelkansen zijn geminimaliseerd.
Hoe komen aanvallers meestal binnen bij een kmo?
Volgens analyses van het CCB begint 38 procent van de incidenten met accountovername via gestolen inloggegevens. Nog eens 33 procent ontstaat door het misbruiken van kwetsbaarheden in ongepatchte software of publiek bereikbare interfaces. Phishing blijft de voornaamste methode om aan wachtwoorden te komen.
Is een kmo in België verplicht om een aanval te melden?
Zodra persoonsgegevens ontvreemd of ontoegankelijk zijn, verplicht artikel 33 van de AVG een melding aan de Gegevensbeschermingsautoriteit binnen 72 uur. Kmo’s die onder de Belgische NIS2-wet vallen, melden significante incidenten daarnaast binnen 24 uur via het Safeonweb@work-portaal van het CCB.
Wat houdt dubbele afpersing in?
Bij dubbele afpersing stelen criminelen eerst gevoelige bedrijfs- en persoonsgegevens en versleutelen ze daarna pas de systemen. Weigert u te betalen voor de ontsleuteling, dan dreigen zij de gestolen data publiek te maken. Daardoor ontstaat automatisch een meldplichtig datalek.
Waarom volstaat een eenvoudige cloudback-up niet?
Cloudback-ups die gesynchroniseerd zijn met het lokale netwerk of beheerd worden met dezelfde inloggegevens, worden tijdens een aanval mee versleuteld of gewist. Echte bescherming vereist onveranderlijke kopieën die logisch en qua toegang gescheiden zijn van uw kantooromgeving.
Wat doet u als eerste bij een ontdekte aanval?
Isoleer de getroffen systemen door netwerkkabels los te koppelen en draadloze verbindingen uit te schakelen, maar schakel de toestellen niet uit. Activeer daarna uw crisisteam, contacteer uw incident-responsepartner en uw verzekeraar, en start het meldingsprotocol richting toezichthouders.
Hoe beschermt meervoudige authenticatie tegen ransomware?
Meervoudige authenticatie vereist een extra verificatiestap naast het wachtwoord. Omdat accountovername via gestolen inloggegevens aan de basis ligt van 29 tot 38 procent van de inbraken, concludeert het CCB dat 80 procent van de geslaagde hacks voorkomen had kunnen worden met consequente toepassing op alle externe toegangspunten en beheerinterfaces.
