Signals · Threat intelligence

Acht signalen die Nederlandse maakbedrijven in de gaten moeten houden

Ransomware, kwetsbare edge-apparaten, leveranciers en statelijke actoren: de signalen die een cyberaanval op de Nederlandse maakindustrie voorafgaan, en wat u aan elk ervan kunt doen.

Door Gouresh Kamble, Amon Dîn · 13 oktober 2026 · 6 min lezen

Op 1 augustus hoorde bol van CEVA Logistics dat er mogelijk een datalek was geweest bij de afhandeling van bestellingen uit een van de distributiecentra van bol. Bol en de Bijenkorf waarschuwden klanten dat hun gegevens mogelijk waren gelekt en dat bestellingen vertraging konden oplopen of geannuleerd konden worden, en pas begin september werd er vanuit de locatie in Waalwijk weer grotendeels normaal bezorgd. Volgens bol zijn de eigen systemen niet getroffen. Die van hun leverancier wel.

Voor een Nederlands maakbedrijf is dat precies hoe het risico er in 2026 uitziet. Aanvallen komen zelden zonder waarschuwing; de signalen zijn openbaar, als u weet waar u moet kijken. Dit zijn er acht om te volgen.

Acht signalen om te volgen

1. Ransomware richt zich nadrukkelijk op de maakindustrie. Dragos telde 1.140 ransomware-incidenten bij industriële organisaties in het tweede kwartaal van 2026, 12% meer dan in het eerste kwartaal, en 747 daarvan (65%) troffen producenten. Dragos zag geen enkel geval waarin aanvallers een besturingssysteem manipuleerden: de productie lag stil omdat de ERP-, virtualisatie- en identiteitssystemen waar OT van afhankelijk is, waren versleuteld of uitgeschakeld. Actie: test of u een week zonder ERP kunt doorproduceren, of veilig kunt herstarten.

2. Edge-apparaten worden nu misbruikt. Op 27 september waarschuwde het NCSC dat twee kwetsbaarheden in Citrix NetScaler ADC en Gateway al werden misbruikt, waarvan één het op afstand uitvoeren van code mogelijk maakt zonder in te loggen. Vandaag voegde CISA een authenticatie-omzeiling in Ivanti Connect Secure (CVE-2026-104935) toe aan de Known Exploited Vulnerabilities-catalogus. Via VPN's en gateways komen engineers en leveranciers de fabriek binnen. Actie: houd een actuele lijst bij van elk apparaat dat aan het internet hangt, en patch misbruikte kwetsbaarheden binnen enkele dagen, nadat u eerst de logging hebt veiliggesteld, zoals het NCSC adviseert.

3. Uw leveranciers maken deel uit van uw aanvalsoppervlak. CEVA is het voorbeeld dichtbij huis. ENISA beschrijft in het Threat Landscape 2025 hoe criminelen bewust afhankelijkheden in de toeleveringsketen misbruiken om de impact te vergroten. Logistieke partners, MES- en ERP-leveranciers en machinebouwers met toegang op afstand tellen allemaal mee. Actie: benoem uw kritieke leveranciers en spreek af wat elk van hen u moet laten weten, en hoe snel, als ze worden gehackt.

4. Nederlandse technologie is een doelwit voor spionage. Het jaarverslag van de AIVD stelt dat statelijke actoren uit zijn op Nederlandse kennis en technologie, en dat inlichtingenonderzoek in 2025 inzicht gaf in verhulde investeringen, het omzeilen van exportrestricties en bedrijfsgeheimen die via (cyber)spionage werden verkregen. Actie: bepaal uw kroonjuwelen (ontwerpen, recepturen, procesdata) en controleer wie erbij kan.

5. Het sabotagerisico neemt voorzichtig toe. De AIVD en MIVD stelden in 2025 geen geslaagde Russische cybersabotage in Nederland vast, maar noemen Nederland een potentieel doelwit vanwege de steun aan Oekraïne en de rol als transportknooppunt, met sinds de zomer van 2025 een voorzichtige toename van sabotageactiviteiten, vooral gericht op militaire en logistieke doelen. Defensieleveranciers en logistiek intensieve producenten staan daar het dichtst bij. Actie: levert u aan defensie of kritieke logistiek, bespreek dit dan met uw bestuur en test uw handmatige terugvaloptie.

6. Hacktivisten zoeken naar onbeveiligde bedieningspanelen. Een gezamenlijk advies van CISA, het EC3 van Europol en Europese partners beschrijft hoe pro-Russische groepen scannen op VNC-verbindingen naar HMI's die aan het internet hangen, inloggen met standaard- of zwakke wachtwoorden en daarna setpoints wijzigen of alarmen uitschakelen. Hun methoden zijn eenvoudig, en juist daarom werken ze. Actie: zorg dat geen enkele HMI of PLC vanaf internet bereikbaar is, en wijzig elk standaardwachtwoord.

7. Phishing en vishing blijven de voordeur. ENISA zag phishing, inclusief telefonische phishing, achter ongeveer 60% van de eerste inbraken, en door AI ondersteunde campagnes domineren social engineering. Een overtuigend telefoontje naar de helpdesk is vaak genoeg. Actie: eis terugbelverificatie voordat een wachtwoord of MFA wordt gereset.

8. De Cyberbeveiligingswet is van kracht. Sinds 15 augustus 2026 geldt de Nederlandse NIS2-wet, en organisaties die eronder vallen, moeten zich registreren bij het NCSC. De RDI, toezichthouder voor de sector vervaardiging, wijst erop dat producenten die onder de wet vallen significante incidenten binnen 24 uur moeten melden en hun uitvoerend bestuur moeten trainen, en dat de sector zichzelf het laagst scoort op ketenrisico's, de meldingsprocedure en bestuurstraining. Actie: stel vast of u onder de wet valt, registreer u, en oefen de melding binnen 24 uur.

Aanvallen komen zelden zonder waarschuwing. De signalen zijn openbaar, als u weet waar u moet kijken.

Vroege waarschuwingssignalen in uw eigen omgeving

Mislukte of ongebruikelijke logins op VPN's, gateways of tools voor ondersteuning op afstand, vooral buiten kantoortijd
Nieuwe beheerdersaccounts, of tools voor toegang op afstand die niemand zich herinnert te hebben geïnstalleerd
Beveiligingssoftware die op servers is uitgeschakeld of verwijderd
Grote of ongebruikelijke uitgaande gegevensoverdrachten vanaf fileservers, ERP of engineeringshares
Verzoeken aan de helpdesk om wachtwoorden of MFA van bestuurders of engineers te resetten
Wijzigingen in een HMI, gewiste alarmen of verschoven setpoints die geen operator kan verklaren
Een leverancier die een incident meldt, of ineens niets meer van zich laat horen

Hoe Amon Dîn helpt

Amon Dîn biedt onafhankelijke threat intelligence en cybersecurity advies voor maakbedrijven, met oog voor OT. We volgen de signalen die voor uw sector tellen, waaronder uitgelekte inloggegevens, imitatie en activiteit gericht op uw leveranciers. In een discoverysessie brengen we in kaart wat u werkelijk heeft, van apparaten die aan het internet hangen en routes voor toegang op afstand tot OT-koppelingen en afhankelijkheden van derden. We adviseren over segmentatie, monitoring en paraatheid bij incidenten, inclusief uw verplichtingen onder de Cyberbeveiligingswet. Weet u niet waar u moet beginnen? De gratis Signal Score geeft u snel een eerste beeld.

Bronnen

← Alle Signals