Kunstmatige intelligentie verandert ransomware niet in een volledig nieuw soort cyberdreiging. AI maakt vooral de aanvalsmethoden die eraan voorafgaan sneller, overtuigender en eenvoudiger op grote schaal uit te voeren. Dat blijkt uit internationaal onderzoek van cybersecuritybedrijf Proofpoint. Bijna twee derde van de organisaties die met ransomware werden getroffen, zegt dat het gebruik van AI de aanval effectiever heeft gemaakt.
Voor industriële bedrijven is dat een belangrijke waarschuwing. Een geslaagde ransomwareaanval raakt daar niet alleen e-mail, administratieve systemen en bedrijfsgegevens. Wanneer aanvallers vanuit de kantoorautomatisering kunnen doordringen tot productieomgevingen, kunnen ook fabrieken, logistieke processen, technische installaties en onderhoudssystemen tot stilstand komen.
Het onderzoek onderstreept bovendien dat ransomware steeds minder als uitsluitend een technisch malwareprobleem kan worden beschouwd. De aanval begint vaak bij een medewerker, een digitale identiteit of een ogenschijnlijk betrouwbare communicatie. Juist daar helpt generatieve AI aanvallers om hun werkwijze te professionaliseren.
AI verbetert vooral de voorbereiding van aanvallen
Voor het onderzoek ondervroeg Proofpoint tussen maart en april 2026 in totaal 953 cybersecurityprofessionals. Zij waren werkzaam bij organisaties van verschillende omvang, verspreid over twintig sectoren en twaalf landen, waaronder Frankrijk, Duitsland, Italië en Spanje.
Van de organisaties die met ransomware te maken hadden gehad, gaf 65 procent aan dat AI de effectiviteit van de aanval had vergroot. Volgens Proofpoint gebruiken aanvallers AI onder meer voor het opstellen van geloofwaardige phishingberichten, het imiteren van leidinggevenden of leveranciers, het verzamelen van informatie over organisaties en het ontwikkelen van scripts die bij een aanval kunnen worden ingezet.
Dat betekent niet noodzakelijk dat volledig autonome AI-systemen zelfstandig een fabriek aanvallen. De directe invloed van AI zit momenteel vooral in het verbeteren en versnellen van bestaande criminele processen. Aanvallers kunnen sneller informatie verzamelen over functies, medewerkers, leveranciers, projecten en interne communicatiestijlen. Vervolgens kunnen zij veel gerichtere berichten versturen dan bij traditionele, generieke phishingcampagnes.
Een medewerker ontvangt dan bijvoorbeeld geen slecht vertaalde e-mail over een willekeurige factuur, maar een professioneel geschreven bericht dat lijkt te komen van een bekende machinebouwer, onderhoudspartner of collega van de financiële afdeling. De boodschap kan verwijzen naar een bestaand project, een geplande onderhoudsstop of een concrete levering. Dat maakt het aanzienlijk moeilijker om de fraude tijdig te herkennen.
Industriële organisaties hebben veel vertrouwde relaties
Deze ontwikkeling is bijzonder relevant voor de industrie, omdat productiebedrijven doorgaans functioneren binnen uitgebreide ketens van leveranciers, systeemintegrators, onderhoudspartners, logistieke dienstverleners en externe engineers.
Medewerkers ontvangen dagelijks documenten, tekeningen, offertes, firmwarebestanden, onderhoudsinstructies en links naar portals. Externe partijen krijgen bovendien regelmatig tijdelijke of permanente toegang tot bedrijfsomgevingen. Denk aan leveranciers die op afstand een machine onderhouden, integrators die een PLC-programma aanpassen of technici die via een VPN-verbinding diagnoses uitvoeren.
Deze vertrouwde relaties vormen een aantrekkelijk aanknopingspunt voor aanvallers. Wie het e-mailaccount van een leverancier overneemt, hoeft zich niet meer als een onbekende afzender voor te doen. De aanvaller kan verdergaan in een bestaande conversatie, een aangepaste bijlage meesturen of om toegang tot een systeem vragen.
AI kan daarbij helpen om eerdere correspondentie te analyseren en vervolgens berichten te formuleren die aansluiten bij het taalgebruik en de werkwijze van de betrokken partijen. Ook vertalingen worden geloofwaardiger. Dat is relevant voor Europese industriële ondernemingen, waar internationale leveranciersketens en meertalige communicatie gebruikelijk zijn.
De mens blijft een belangrijke ingang
Proofpoint concludeert dat de meest voorkomende toegangsmethoden sterk afhankelijk blijven van menselijk handelen. Wereldwijd begon volgens het rapport 47 procent van de incidenten met een kwaadaardige link. Verder meldde 40 procent van de getroffen organisaties dat de aanval zo authentiek leek dat medewerkers geen argwaan kregen.
In de specifiek gepubliceerde Britse resultaten werden kwaadaardige links het vaakst genoemd, gevolgd door business email compromise, schadelijke bijlagen en het onderscheppen van inloggegevens. Bij bijna een derde van de Britse incidenten speelde mee dat gebruikers met kwaadaardige inhoud hadden geïnterageerd.
Voor industriële bedrijven kan één gestolen account grote gevolgen hebben. Een gecompromitteerde identiteit kan toegang geven tot Microsoft 365, cloudapplicaties, fileservers, engineeringdocumentatie, leveranciersportalen en systemen voor enterprise resource planning. Afhankelijk van de inrichting kan dezelfde identiteit ook bruikbaar zijn voor remote-accessvoorzieningen, onderhoudsomgevingen of andere verbindingen richting de productie.
Daarmee verschuift de aanval van een verdacht bericht naar legitiem ogend gebruik van een geldig account. Traditionele beveiligingssystemen herkennen zo’n gebruiker mogelijk niet onmiddellijk als kwaadwillend, omdat de aanvaller geen technisch beveiligingsmechanisme hoeft te doorbreken. Hij logt in met geldige gegevens.
IT-incident kan uitgroeien tot productiestilstand
In veel industriële organisaties zijn IT- en OT-netwerken formeel van elkaar gescheiden. In de praktijk bestaan echter vrijwel altijd verbindingen tussen beide werelden. Productiegegevens worden bijvoorbeeld doorgestuurd naar een manufacturing execution system, een ERP-platform, een cloudomgeving of een onderhoudsdashboard.
Ook engineeringwerkplekken, historians, jumpservers, domeincontrollers, remote-accesssystemen en software voor assetmanagement kunnen een brug vormen tussen kantoorautomatisering en de fabriek.
Een aanvaller hoeft daarom niet direct een PLC of distributed control system te manipuleren om de productie te verstoren. Het uitschakelen van ondersteunende IT-systemen kan voldoende zijn. Wanneer productieorders, recepturen, kwaliteitsgegevens, planningsinformatie of verzenddocumenten niet beschikbaar zijn, kan een fabriek operationeel alsnog tot stilstand komen.
Industriële organisaties besluiten in zo’n situatie soms uit voorzorg zelf de productie te stoppen. Dat kan noodzakelijk zijn wanneer niet duidelijk is welke systemen zijn getroffen, of wanneer de integriteit van productiedata niet meer kan worden gegarandeerd.
De gevolgen kunnen verder gaan dan omzetverlies. Productiestilstand kan leiden tot verspilling van grondstoffen, beschadiging van batches, problemen met temperatuurgevoelige processen, gemiste leveringen en veiligheidsrisico’s bij het ongecontroleerd onderbreken of herstarten van installaties.
Ransomware draait steeds vaker om datadiefstal
Het onderzoek laat ook zien dat versleuteling niet meer het enige doel van ransomware is. Bij 65 procent van de getroffen organisaties werd tijdens het incident een vorm van datadiefstal vastgesteld. In de Britse onderzoeksresultaten lag dat aandeel op 66 procent.
Dit is voor industriële bedrijven van belang omdat hun gegevens vaak een grote strategische of commerciële waarde vertegenwoordigen. Aanvallers kunnen onder meer technische tekeningen, productontwerpen, recepturen, procesinstellingen, onderzoeksgegevens, prijsafspraken en informatie over klanten of leveranciers buitmaken.
Zelfs wanneer een organisatie dankzij back-ups snel kan herstellen, blijft de dreiging van publicatie bestaan. Een aanvaller kan gestolen gegevens gebruiken voor afpersing, verkopen op criminele marktplaatsen of inzetten bij nieuwe aanvallen op ketenpartners.
Ook gestolen identiteiten houden na het herstel hun waarde. Wanneer tokens, sessiesleutels, wachtwoorden of API-sleutels niet volledig worden ingetrokken, kunnen aanvallers later opnieuw toegang krijgen.
Ransomware wordt daarmee een langdurige afpersingscampagne in plaats van een eenmalige versleuteling van bestanden. Organisaties moeten niet alleen systemen herstellen, maar ook vaststellen welke gegevens zijn verdwenen, welke identiteiten zijn misbruikt en welke partners mogelijk gevaar lopen.
Betalen biedt geen definitieve oplossing
Ondanks jarenlange waarschuwingen van overheden en opsporingsdiensten betaalde volgens het wereldwijde Proofpoint-onderzoek 54 procent van de getroffen organisaties losgeld. Van die groep kreeg 37 procent vervolgens te maken met een aanvullende eis.
Dat illustreert hoe meerdere vormen van druk tegelijkertijd kunnen worden toegepast. Een organisatie kan betalen voor een decryptiesleutel, waarna criminelen opnieuw geld vragen om publicatie van gestolen gegevens te voorkomen. Daarna kan nog een derde eis volgen, bijvoorbeeld om gestolen inloggegevens niet te verkopen.
Voor industriële managers ontstaat tijdens een incident een bijzonder moeilijke afweging. Iedere dag productiestilstand kan grote financiële gevolgen hebben, terwijl ook klanten en ketenpartners druk uitoefenen om leveringen te hervatten. Juist die tijdsdruk vergroot de onderhandelingspositie van de aanvallers.
Daarom moeten beslissingen over communicatie, crisismanagement, juridische ondersteuning en eventuele onderhandelingen niet pas tijdens een aanval worden voorbereid. De bevoegdheden, escalatieroutes en verantwoordelijkheden horen vooraf vast te liggen.
Endpointbeveiliging alleen is onvoldoende
Een belangrijk punt uit het onderzoek is dat veel organisaties ransomware nog steeds vooral behandelen als een probleem van malwaredetectie en gegevensherstel. Daarmee komt de nadruk te liggen op endpoint detection and response, antivirussoftware, back-ups en herstelprocedures.
Die middelen blijven noodzakelijk, maar beschermen niet volledig tegen aanvallen waarbij geldige accounts en vertrouwde communicatie worden misbruikt. Een medewerker kan bijvoorbeeld een overtuigend bericht ontvangen van een gecompromitteerde leverancier, waarna hij zelf inloggegevens invoert op een nagemaakte portal. Er hoeft op dat moment nog geen malware op het endpoint te worden geïnstalleerd.
Voor industriële organisaties betekent dit dat bescherming meerdere lagen moet omvatten. E-mailbeveiliging, identiteitsbeveiliging, netwerksegmentatie, toegangsbeheer en monitoring moeten als één geheel worden ingericht.
Vooral accounts met toegang tot meerdere omgevingen verdienen aandacht. Engineers, beheerders, externe onderhoudspartners en systeemintegrators beschikken vaak over ruime bevoegdheden. Een gecompromitteerd account van zo’n gebruiker kan een aanvaller sneller naar kritieke systemen brengen dan de besmetting van een willekeurige kantoorcomputer.
Scheiding tussen IT en OT moet ook organisatorisch werken
Netwerksegmentatie is een fundamenteel onderdeel van industriële cybersecurity. Toch is een technische scheiding alleen niet voldoende. Organisaties moeten ook weten welke identiteiten, apparaten en applicaties daadwerkelijk tussen segmenten mogen communiceren.
Externe toegang verdient daarbij bijzondere aandacht. Toegang van leveranciers moet bij voorkeur tijdelijk, doelgebonden en controleerbaar zijn. Generieke VPN-accounts of permanent actieve verbindingen maken het lastiger om afwijkend gedrag te herkennen.
Ook gedeelde accounts vormen een risico. Wanneer meerdere technici dezelfde gebruikersnaam gebruiken, is niet meer vast te stellen wie een handeling heeft uitgevoerd. Individuele accounts, multifactorauthenticatie en sessieregistratie vergroten zowel de veiligheid als de traceerbaarheid.
Daarnaast moet worden voorkomen dat dezelfde beheeraccounts in zowel IT als OT worden gebruikt. Een compromittering in de kantooromgeving mag geen directe toegang tot productiesystemen opleveren. Voor kritieke beheeractiviteiten zijn afzonderlijke identiteiten, strengere authenticatie en gecontroleerde jumpservers aangewezen.
Training moet aansluiten op de fabriek
Security awareness blijft belangrijk, maar algemene phishingtraining is voor industriële organisaties vaak te beperkt. Medewerkers moeten worden voorbereid op berichten die passen bij hun dagelijkse werkzaamheden.
Een planner kan bijvoorbeeld een frauduleuze wijziging in een transportopdracht ontvangen. Een engineer krijgt mogelijk een link naar vermeende technische documentatie. De inkoopafdeling kan worden benaderd over gewijzigde bankgegevens, terwijl een onderhoudstechnicus wordt gevraagd een extern programma te installeren.
AI maakt dergelijke scenario’s geloofwaardiger doordat criminelen taal, timing en inhoud beter kunnen aanpassen aan de functie van het slachtoffer.
Training moet daarom worden afgestemd op rollen en risico’s. Een operator heeft andere voorbeelden nodig dan een inkoper, engineer of systeembeheerder. Ook medewerkers van externe partijen die toegang tot de locatie of systemen krijgen, moeten in de aanpak worden meegenomen.
Tegelijkertijd mogen organisaties de verantwoordelijkheid niet volledig bij individuele werknemers leggen. Wanneer één verkeerde klik direct tot een grote verstoring kan leiden, ontbreken er technische barrières. Training moet onderdeel zijn van een breder beveiligingsmodel waarin fouten worden verwacht en opgevangen.
Herstelplannen moeten uitgaan van een onbetrouwbare IT-omgeving
Back-ups blijven essentieel, maar industriële bedrijfscontinuïteit vraagt om meer dan het terugzetten van bestanden. Een herstelplan moet beschrijven hoe veilig kan worden geproduceerd wanneer een deel van de IT-omgeving niet beschikbaar of niet betrouwbaar is
Organisaties .moeten bijvoorbeeld weten welke processen tijdelijk handmatig kunnen worden uitgevoerd, welke productielijnen prioriteit hebben en welke gegevens absoluut noodzakelijk zijn om veilig te kunnen opstarten.
Ook moet duidelijk zijn hoe configuraties van PLC’s, robots, drives, HMI’s, safety-systemen en andere industriële assets worden beheerd. Back-ups van deze configuraties moeten offline of logisch gescheiden beschikbaar zijn en regelmatig worden getest.
Een technisch herstel is bovendien niet automatisch een veilig herstel. Voordat systemen opnieuw worden aangesloten, moet worden vastgesteld dat accounts, endpoints en verbindingen schoon zijn. Anders kan de aanvaller tijdens het herstel opnieuw toeslaan.
AI vraagt niet alleen om nieuwe technologie
Het Proofpoint-onderzoek laat vooral zien dat AI bestaande zwakke plekken scherper blootlegt. Slecht ingerichte toegangsrechten, onvoldoende zicht op externe verbindingen en gebrekkige controle op digitale identiteiten worden gevaarlijker wanneer aanvallers sneller en overtuigender kunnen opereren.
Voor het management betekent dit dat ransomwareweerbaarheid niet uitsluitend onder verantwoordelijkheid van de IT- of securityafdeling kan vallen. Productie, engineering, onderhoud, inkoop, HR, communicatie en directie spelen allemaal een rol.
Cybersecurityspecialisten moeten op hun beurt verder kijken dan technische indicatoren. Zij moeten begrijpen hoe productieprocessen functioneren, welke leveranciers cruciaal zijn en welke systemen tijdens een storing als eerste moeten worden hersteld.
De belangrijkste vraag is uiteindelijk niet alleen of een organisatie ransomware kan detecteren. Het gaat erom of zij een aanval kan opvangen zonder dat één gestolen identiteit, overtuigende e-mail of gecompromitteerde leverancier direct tot langdurige productiestilstand leidt.
AI maakt ransomware niet onvermijdelijk. De technologie vergroot wel het voordeel van aanvallers wanneer organisaties blijven vertrouwen op herkenbare phishingmails, traditionele malwaredetectie en herstelplannen die uitsluitend op IT zijn gericht. Voor industriële ondernemingen ligt de opgave daarom in het combineren van mensgerichte beveiliging, streng identiteitsbeheer, robuuste IT-OT-segmentatie en aantoonbaar geteste bedrijfscontinuïteit.
:::