Cybercrime-as-a-service: waarom MKB vaker doelwit is

Nu.nl berichtte onlangs dat op het darkweb complete cyberaanval-pakketten te koop zijn: kant-en-klare ransomware, phishing-kits en botnets, inclusief handleiding en klantenservice. Dat is geen incident, het is een verdienmodel geworden. En het verandert wie er in het vizier staat.

Waarom is de drempel voor cyberaanvallen weggevallen?

Vroeger moest een aanvaller zelf kunnen programmeren, zwakke plekken zoeken en malware bouwen. Dat kostte tijd en kennis. Cybercrime-as-a-service heeft die drempel weggehaald. Op darkwebmarktplaatsen huur je nu ransomware, koop je gestolen inloggegevens of bestel je een gerichte phishing-campagne, compleet met technische ondersteuning van de verkoper.

Het gevolg: het aantal potentiële aanvallers is niet meer beperkt tot mensen met technische kennis. Iedereen met een beetje geld en kwade bedoelingen kan meedoen. Dat verandert de risicoafweging voor elk bedrijf, ook de kleinere.

Wat maakt gekoppelde systemen en AI-tools risicovol?

Een MKB-bedrijf van vijftig medewerkers heeft tegenwoordig vaak net zoveel gekoppelde systemen als een veel groter bedrijf tien jaar geleden: een boekhoudpakket dat praat met een CRM, een klantportaal dat gegevens uitwisselt met een voorraadsysteem, en steeds vaker een AI-tool die e-mails leest, offertes opstelt of data verwerkt. Elke koppeling is een deur. En hoe meer deuren, hoe groter de kans dat er eentje niet goed op slot zit.

We zien bij geïntegreerde systemen vaak dat bedrijven vooral kijken naar wat een koppeling oplevert aan tijdsbesparing en overzicht, en pas veel later naar wat er misgaat als die koppeling wordt misbruikt. Terecht enthousiast over de voordelen, maar de beveiligingsvraag komt er vaak bekaaid af.

Welke vragen stel je als ondernemer aan je softwareleverancier?

Beveiliging is geen technisch detail dat je overlaat aan “de IT-afdeling”. Als ondernemer neem je de verantwoordelijkheid, ook als je zelf geen programmeur bent. Stel je softwareleverancier in ieder geval deze vragen:

• Hoe wordt data versleuteld, zowel onderweg als opgeslagen?
• Wie heeft toegang tot welke gegevens, en hoe wordt dat gecontroleerd?
• Wat gebeurt er bij een koppeling of API-integratie als het andere systeem wordt gehackt?
• Wordt er structureel getest op zwakke plekken, en wanneer voor het laatst?
• Hoe snel en hoe transparant wordt een incident gemeld, en wat gebeurt er dan?

Krijg je op deze vragen vage of ontwijkende antwoorden, dan is dat een signaal, niet een detail dat je later wel uitzoekt.

Wat betekent security by design in de praktijk?

Security by design is het uitgangspunt dat beveiliging vanaf de eerste ontwerpkeuze wordt meegenomen in software, in plaats van er achteraf een laagje overheen te leggen. Dat betekent bijvoorbeeld dat toegangsrechten standaard beperkt zijn tot wat nodig is, dat gevoelige data versleuteld wordt opgeslagen, en dat elke nieuwe koppeling eerst wordt getoetst op risico’s voordat hij live gaat.

We hebben dit uitgebreider uitgewerkt in ons artikel over security by design, en het kwam ook terug tijdens onze eigen R&D-dag over security, waar we intern stilstonden bij hoe we dit in elk project blijven toepassen. Het punt is: security by design is geen vinkje achteraf, het is een manier van bouwen die vraagt om aandacht bij elke koppeling, elke AI-tool en elk klantportaal dat je laat maken.