Dat blijkt uit de nieuwe rapportage Leren van elkaars datalekken. De AP registreerde vorig jaar 136 ransomware-aanvallen, tegen 127 in 2024. Deze aanvallen leidden tot ten minste 283 meldingen van datalekken, onder meer doordat één aanval meerdere organisaties tegelijk kan treffen.
AP: organisaties onderschatten risico's van ransomware voor slachtoffers
De Autoriteit Persoonsgegevens (AP) waarschuwt dat organisaties de gevolgen van ransomware-aanvallen voor burgers structureel onderschatten. Tegelijk ziet de toezichthouder een verschuiving in de werkwijze van cybercriminelen: zij stelen steeds vaker persoonsgegevens zonder systemen te versleutelen, waardoor de risico's op identiteitsfraude en oplichting toenemen.
Volgens de toezichthouder is vooral de toename van datadiefstal zonder versleuteling zorgwekkend. In 2025 werden bij 32 ransomware-aanvallen uitsluitend gegevens gestolen, tegenover vijftien een jaar eerder. Bij 65 aanvallen werden gegevens zowel gestolen als versleuteld. De AP waarschuwt dat gestolen persoonsgegevens uit verschillende datalekken steeds vaker kunnen worden gecombineerd, waardoor de kans op identiteitsfraude en gerichte oplichting verder toeneemt.
De meeste meldingen van datalekken door ransomware kwamen uit de sectoren gezondheid en welzijn, handel en autobranche en informatie en communicatie. Ook het openbaar bestuur behoort tot de sectoren waar ransomware-aanvallen tot datalekken leidden. Vooral namen, e-mailadressen, woonadressen en telefoonnummers lekken uit. Bij ongeveer een derde van de meldingen waren ook burgerservicenummers en kopieën van identiteitsbewijzen betrokken.
Risico's onderschat
De AP stelt dat organisaties de gevolgen van ransomware-aanvallen voor betrokkenen regelmatig te laag inschatten. Organisaties beschouwen contactgegevens volgens de toezichthouder vaak als weinig gevoelig, terwijl juist die gegevens kunnen worden gebruikt voor gerichte phishing en andere vormen van oplichting. Ook gaan organisaties er volgens de AP ten onrechte vanuit dat persoonsgegevens niet zijn buitgemaakt wanneer daar geen direct bewijs voor is.
De toezichthouder benadrukt dat organisaties na een cyberaanval moeten aannemen dat gegevens zijn ingezien of gestolen, totdat loggegevens het tegendeel aantonen. De AP zegt daarom regelmatig te moeten ingrijpen omdat organisaties de risico's voor slachtoffers te laag inschatten.
Praktijklessen
Naast de cijfers bevat de rapportage voor het eerst praktijkervaringen van organisaties die slachtoffer werden van ransomware. Op basis daarvan formuleert de AP zes aanbevelingen: zorg voor goede monitoring, leg een incidentplan klaar en test dit regelmatig, schakel externe expertise in, weet welke persoonsgegevens worden bewaard, informeer slachtoffers zo snel mogelijk en investeer in beveiliging en betrouwbare back-ups. Daarnaast wijst de toezichthouder op het belang van dataminimalisatie: gegevens die niet worden bewaard, kunnen ook niet uitlekken.
De AP herhaalt daarnaast het advies om geen losgeld te betalen. Volgens de toezichthouder biedt betaling geen garantie dat systemen worden vrijgegeven of gestolen gegevens worden verwijderd. In 2025 zag de AP bovendien gevallen waarbij aanvallers na betaling alsnog extra geld eisten of de buitgemaakte gegevens openbaar maakten.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.