🌍 De Realiteit van Cyberdreigingen
Een live beeld van het digitale aanvalslandschap dat 24/7 in beweging is — gevoed door open bronnen en onafhankelijke honeypot-netwerken.
🗺 Wat zie je op de kaart?
De kaart visualiseert in realtime cyberaanvallen zoals ze worden gedetecteerd door het sensor- en honeypotnetwerk van Bitdefender. Lijnen tonen de richting van aanvallen: van aanvalsbron naar doelwit. De kleuren en iconen geven het aanvalstype aan.
Belangrijk om te begrijpen: de kaart toont niet elke aanval ter wereld — alleen wat dit specifieke netwerk waarneemt. De werkelijke aanvalsfrequentie ligt vele malen hoger.
🍯 Hoe werken honeypots?
Een honeypot is een bewust kwetsbaar systeem dat online wordt gezet om aanvallers aan te trekken. Het heeft geen echte functie — het enige doel is het registreren van wie er binnenkomt, hoe ze het proberen, en welke tools ze gebruiken.
Honeypots vormen een van de meest waardevolle bronnen voor inzicht in het aanvalslandschap, juist omdat ze passief werken: er hoeft niemand op te klikken of een fout te maken. Aanvallers komen vanzelf, aangedreven door geautomatiseerde scanners die het volledige internet doorzoeken op open poorten en kwetsbare software.
🔌 Low-interaction honeypot
Simuleert alleen de buitenkant van een service — bijvoorbeeld een SSH-server die inlogpogingen registreert maar geen echte shell geeft. Eenvoudig op te zetten, veilig, en levert statistieken over brute-force en scanverkeer.
🆕 High-interaction honeypot
Een volledig functioneel systeem dat aanvallers daadwerkelijk kunnen gebruiken, in een gecontroleerde sandbox. Levert diep inzicht in aanvallerstactieken maar vereist veel expertise om veilig te draaien — een misconfiguratie kan het tot springplank maken.
🌐 Honeypot-netwerken
Organisaties als Shadowserver, GreyNoise en The Honeynet Project draaien honderden honeypots wereldwijd en delen hun data open. Ze bieden een continu beeld van welke kwetsbaarheden actief worden uitgebuit en welke IP-ranges kwaadwillig scannen.
⏱ Hoe snel word je gevonden?
Onderzoek toont consistent aan dat een nieuw IP-adres met een open poort binnen seconden tot minuten wordt gescand door geautomatiseerde systemen. Een onbeveiligde SSH-server ontvangt typisch honderden inlogpogingen per uur, zonder dat iemand weet dat je er bent.
🔧 Aanvalstypen — wat ze zijn en hoe ze werken
📷 Port scanning
De eerste stap van vrijwel elke aanval. Tools zoals Masscan en ZMap scannen het volledige IPv4-internet in minuten op open poorten. Geen aanval op zich, maar de verkenning die voorafgaat. Elk IP-adres wordt systematisch afgetast op diensten als SSH (22), RDP (3389), HTTP (80/443) en databases.
🔐 Brute force
Geautomatiseerd razen van wachtwoorden of SSH-sleutels. Botnets proberen miljoenen combinaties per seconde op diensten als SSH, RDP, FTP en beheerpanelen. Standaardwachtwoorden en veelgebruikte combinaties worden als eerste geprobeerd — de lijsten zijn publiek beschikbaar (SecLists, rockyou.txt).
📳 Phishing
Manipulatie via nep-e-mails, -websites of -berichten om inloggegevens te stelen of malware te installeren. Technisch simpel maar statistisch een van de meest effectieve aanvalsvectoren. Moderne phishing klont legitieme sites pixel-perfect en gebruikt domeinen die een enkele letter afwijken van het origineel.
💻 Exploits en CVE’s
Zodra een kwetsbaarheid publiek wordt gemaakt (als CVE — Common Vulnerabilities and Exposures), beginnen geautomatiseerde scanners er massaal op te zoeken. De tijd tussen publicatie van een CVE en grootschalig misbruik is teruggelopen van weken naar soms uren. Niet-bijgewerkte software is het laaghangende fruit.
🔒 Ransomware
Malware die bestanden versleutelt en losgeld eist voor de sleutel. Moderne ransomware werkt als een georganiseerde industrie: RaaS (Ransomware-as-a-Service) platforms laten iedereen campagnes uitvoeren in ruil voor een percentage van de opbrengst. De initiële toegang wordt vaak via phishing of exploits verkregen, waarna de aanvaller weken onopgemerkt in het netwerk zit voor de versleuteling begint.
🌵 DDoS
Distributed Denial of Service: een dienst of server platleggen door hem te overspoelen met verkeer. Botnets van honderdduizenden gecompromitteerde apparaten (inclusief routers, camera’s en IoT-devices) genereren aanvalsvolumes van honderden Gbps. DDoS-diensten zijn te huur voor een paar euro per uur.
🐧 Supply chain aanvallen
In plaats van het doelwit direct aanvallen, wordt een leverancier of softwarecomponent gecompromitteerd. De SolarWinds-aanval (2020) en de XZ Utils backdoor (2024) zijn voorbeelden waarbij miljoenen systemen kwetsbaar werden via vertrouwde software-updates.
👥 Botnets
Netwerken van gecompromitteerde apparaten onder controle van een aanvaller (C2 — Command and Control). Worden ingezet voor spam, DDoS, cryptomining, fraude en het verder verspreiden van malware. Veel botnet-deelnemers weten niet dat hun apparaat onderdeel is van zo’n netwerk.
📷 IoT: het vergeten aanvalsoppervlak
Slimme apparaten — routers, IP-camera’s, slimme thermostaten, printers, NAS-systemen — zijn een van de grootste beveiligingsproblemen van dit moment. Ze draaien vaak verouderde Linux-versies, hebben standaardwachtwoorden die nooit worden gewijzigd, en ontvangen zelden of nooit beveiligingsupdates van de fabrikant.
📷 IP-cameras
Tienduizenden cameras zijn publiek bereikbaar via standaard-URL’s en standaardwachtwoorden. Fabrikanten als Hikvision en Dahua hadden jarenlang bekende kwetsbaarheden die massaal werden uitgebuit. Veel van deze cameras zijn onderdeel van botnets zoals Mirai.
🔌 Routers en modems
Thuisrouters zijn een primair doelwit: ze staan altijd aan, hebben vaak zwakke wachtwoorden, en vormen de gateway tot het thuisnetwerk. Firmware-updates worden door de meeste gebruikers nooit geinstalleerd. Gecompromitteerde routers worden gebruikt voor DNS-hijacking en als proxy voor andere aanvallen.
🖥 NAS-systemen
Netwerk-opslag (QNAP, Synology) is een geliefd doelwit voor ransomware-campagnes vanwege de waardevolle data die erop staat. Kwetsbaarheden in beheerpanelen worden actief uitgebuit. Regel: NAS-beheerpanelen horen niet direct bereikbaar te zijn vanaf het internet.
⚙ Industriele systemen (ICS/SCADA)
Besturingssystemen voor waterbehandeling, energienetten en fabrieken zijn steeds vaker verbonden met het internet, terwijl ze ontworpen zijn voor gesoleerde netwerken. Aanvallen op dit soort infrastructuur nemen toe en hebben potentieel fysieke gevolgen.
🤖 Hoe aanvallers te werk gaan
De meeste cyberaanvallen volgen een herkenbaar patroon, bekend als de kill chain of het MITRE ATT&CK-framework. Inzicht hierin helpt begrijpen waar verdediging het meest effectief is.
-
Verkenning (Reconnaissance) Passief informatie verzamelen: WHOIS-data, DNS-records, open poorten via Shodan, LinkedIn-profielen van medewerkers, technologie-fingerprinting via Wappalyzer. Dit gebeurt zonder dat het doelwit het merkt.
-
Bewapening (Weaponization) Op basis van gevonden informatie wordt een aanvalsmiddel klaargemaakt: een exploit voor de gevonden softwareversie, een phishing-mail gericht op een specifieke medewerker, of een kwaadaardige bijlage.
-
Aflevering (Delivery) Het aanvalsmiddel wordt afgeleverd: via e-mail, via een kwetsbare webapplicatie, via een USB-stick, of via een gecompromitteerde leverancier. Phishing is veruit de meest gebruikte deliverymethode.
-
Exploitatie (Exploitation) De kwetsbaarheid wordt uitgebuit — software wordt uitgevoerd, een exploit triggert een fout, of een gebruiker voert zijn wachtwoord in op een nepper. Vanaf dit punt heeft de aanvaller een voet tussen de deur.
-
Installatie (Installation) Malware, een backdoor of een remote access tool (RAT) wordt geinstalleerd voor persistentie. De aanvaller wil ook na een herstart toegang behouden en zichzelf verankeren in het systeem.
-
Commando en controle (C2) Het gecompromitteerde systeem maakt contact met een externe server van de aanvaller. Communicatie verloopt vaak via versleuteld HTTPS-verkeer om detectie te vermijden — het lijkt op normaal browserverkeer.
-
Doelstelling (Actions on objectives) Pas nu komt de eigenlijke aanval: data stelen, ransomware uitrollen, het netwerk uitbreiden naar andere systemen (lateral movement), of sabotage. In gevallen van spionage kan deze fase maanden onopgemerkt verlopen.
🛡 Digitale zelfbescherming — wat echt werkt
De meeste succesvolle aanvallen maken gebruik van een handvol terugkerende zwakheden: zwakke wachtwoorden, ontbrekende updates, phishing, en te veel blootstelling aan het internet. Aanpakken van deze vier punten elimineert het overgrote deel van het risico.
Wachtwoorden en toegang
-
Gebruik een wachtwoordmanager Bitwarden (open source, zelf te hosten), KeePassXC (lokaal, geen cloud) en Vaultwarden (zelf-gehoste Bitwarden-server) zijn betrouwbare opties. Ze genereren unieke wachtwoorden per dienst, zodat een datalek bij dienst A niet ook je account bij dienst B compromitteert.
-
Twee-factor authenticatie (2FA) op alles wat kan Een TOTP-app (Time-based One-Time Password) zoals Aegis (Android, open source) of Raivo (iOS) voegt een tweede laag toe die niet via een wachtwoordlek te stelen is. SMS-2FA is beter dan niets maar kwetsbaar voor SIM-swapping — gebruik bij voorkeur een authenticator-app of hardware-sleutel.
-
Controleer of je gegevens zijn uitgelekt HaveIBeenPwned (haveibeenpwned.com) doorzoekt duizenden datalekkendatabases op jouw e-mailadres. Als je adres er in voorkomt, is de bijbehorende dienst gecompromitteerd geweest en is het wachtwoord te beschouwen als gelekt.
Updates en aanvalsoppervlak verkleinen
-
Installeer updates direct De meeste exploits richten zich op bekende kwetsbaarheden waarvoor al een patch bestaat. Een systeem dat up-to-date is biedt aanvallers nauwelijks aanknopingspunten voor bekende exploits.
-
Sluit poorten die je niet gebruikt Controleer met een tool als nmap of Shodan wat er van jouw IP-adres bereikbaar is. Beheerpanelen, databases en NAS-interfaces horen niet direct bereikbaar te zijn vanaf het internet. Gebruik een firewall of VPN voor beheeraccess.
-
Vervang standaardwachtwoorden altijd direct Elk nieuw apparaat — router, camera, NAS, switch — heeft een standaardwachtwoord dat in de handleiding staat en publiek bekend is. Aanvallers proberen deze als eerste. Vervang ze voor je het apparaat online zet.
Privacy en dataминimalisatie
-
Gebruik aparte e-mailadressen per dienst SimpleLogin en addy.io bieden gratis alias-adressen. Zo weet je precies welke dienst je adres heeft verkocht of gelekt als je spam ontvangt, en kun je de alias direct uitschakelen.
-
Versleutel gevoelige bestanden VeraCrypt biedt gratis, open source schijfversleuteling voor losse bestanden of volledige schijven. Voor cloud-opslag zorgt Cryptomator voor clientside versleuteling — de cloudprovider ziet alleen versleutelde blobs.
-
Gebruik een DNS-filter Pi-hole (zelf te hosten) of NextDNS blokkeren verbindingen naar bekende malware- en trackingdomeinen op netwerkniveau — voordat ze de browser bereiken. Effectief tegen malvertising en tracking, zonder extensies per browser.
Phishing herkennen
🔎 Controleer de URL, niet de tekst
Een link kan “mijn-bank.nl” tonen maar doorverwijzen naar “mijn-bank.nl.phish.ru”. Hover altijd over een link voor je klikt, of kopieer de URL en bekijk hem handmatig. Let op nep-domeinen die een enkele letter vervangen of een subdomein gebruiken.
💌 Urgentie is een alarmsignaal
“Je account wordt geblokkeerd”, “Handel direct”, “Je pakket wacht” — urgentie is een bewuste manipulatietechniek om je snel te laten handelen zonder na te denken. Neem altijd even de tijd. Een echte urgente melding kun je verifiëren via de officiele website, niet via de link in het bericht.
🖊 Bijlagen openen
Een Office-document met macro’s, een zip met een executable erin, of een PDF die om extra software vraagt — dit zijn klassieke vectors. Open bijlagen van onbekende afzenders nooit direct. Gebruik VirusTotal (virustotal.com) om bestanden te scannen voor je ze opent.
💬 Verzoeken via onverwacht kanaal
Een “collega” die via WhatsApp om een betaling vraagt, een “CEO” die via mail een spoedopdracht geeft — Business Email Compromise (BEC) en CEO-fraude werken via sociale manipulatie. Verifieer altijd telefonisch via een nummer dat je zelf opzoekt.
🛠 Open tools voor inzicht in het dreigingslandschap
Veel professionele dreigingsinformatie is gratis beschikbaar via open bronnen (OSINT). Onderstaande tools en platforms worden gebruikt door beveiligingsonderzoekers, journalisten en technici wereldwijd.
🔍 Shodan.io
Zoekmachine voor aan het internet verbonden apparaten. Toont open poorten, softwareversies en configuraties van servers, routers, cameras en industriele systemen wereldwijd. Gratis basisaccount beschikbaar.
📈 GreyNoise
Catalogiseert IP-adressen die het internet massaal scannen. Handig om te onderscheiden of een verbinding een gerichte aanval is of automatisch scanverkeer. Gratis community-tier beschikbaar.
🏴 Shadowserver
Non-profit organisatie die wereldwijd honeypot- en scandata verzamelt en gratis deelt met netwerkeigenaren. Stuur je ASN op en ontvang dagelijkse rapporten over kwetsbare of gecompromitteerde systemen in jouw netwerk.
📋 MITRE ATT&CK
Vrij toegankelijke kennisbank van aanvalstactieken, -technieken en -procedures (TTPs) zoals waargenomen in echte aanvallen. Wordt gebruikt als gemeenschappelijke taal in de beveiligingswereld. attack.mitre.org
🔨 VirusTotal
Scan bestanden en URLs tegen 70+ antivirusengines en dreigingsintelligentiedatabases. Gratis te gebruiken. Houd er rekening mee dat alles wat je uploadt publiek wordt — stuur geen vertrouwelijke bestanden.
🔗 Have I Been Pwned
Doorzoek duizenden bekende datalekkendatabases op jouw e-mailadres of telefoonnummer. Gratis, geen account vereist. haveibeenpwned.com — opgezet door onafhankelijk beveiligingsonderzoeker Troy Hunt.
🏭 Digitale soevereiniteit — zelf de controle houden
Digitale veiligheid gaat niet alleen over bescherming tegen aanvallers van buitenaf. Het gaat ook over wie toegang heeft tot jouw data, wie jouw communicatie kan lezen, en hoe afhankelijk je bent van systemen die je niet beheert.
🏠 Zelf hosten
Een eigen Nextcloud-server, Vaultwarden (wachtwoorden), Immich (fotos), Jellyfin (media) of Gitea (code) betekent dat jouw data op jouw hardware staat. Self-hosting vereist meer kennis maar geeft volledige controle over wie toegang heeft.
📩 Versleutelde communicatie
Signal gebruikt end-to-end versleuteling waarbij zelfs Signal zelf geen berichten kan lezen. Matrix/Element is een gedecentraliseerd alternatief dat je ook volledig zelf kunt hosten via Synapse. Beide zijn open source en geauditeerd.
🌐 DNS en netwerk
Pi-hole + Unbound geeft je een eigen DNS-resolver zonder dat je DNS-queries naar externe partijen gaan. Gecombineerd met een VPN of WireGuard tunnel voor beheer op afstand geeft dit een solide privacylaag thuis.
🔒 Encryptie en back-ups
VeraCrypt voor schijfversleuteling, Restic of BorgBackup voor versleutelde back-ups naar externe opslag. De 3-2-1 regel: 3 kopieën, 2 verschillende media, 1 offsite. Een back-up die je nooit getest hebt is geen back-up.
🔗 Onafhankelijke bronnen
Alle hieronder genoemde bronnen zijn open, niet-commercieel of onafhankelijk.