Ransomware-as-a-Service: voor €50 kan iedereen uw fabriek aanvallen

Stel u voor: een 19-jarige zonder enige technische achtergrond koopt voor 50 euro een kant-en-klaar ransomware-pakket op het darkweb, inclusief handleiding, klantenservice en zelfs een dashboard om zijn "campagnes" te beheren. Drie dagen later staat uw volledige productielijn stil. Dit is geen sciencefiction. Dit is de realiteit van Ransomware-as-a-Service (RaaS) in 2026.

De tijd dat cyberaanvallen het exclusieve domein waren van technisch hoogbegaafde hackers is definitief voorbij. De criminele onderwereld heeft het Silicon Valley-model gekopieerd: schaalbare platforms, abonnementsmodellen, affiliate-programma's en 24/7 support. Het resultaat is een industrialisering van cybercriminaliteit die de drempel tot aanvallen heeft verlaagd tot vrijwel nul.

Hoe het RaaS-businessmodel werkt

Om te begrijpen waarom RaaS zo effectief is, moet u het zien voor wat het is: een volwassen businessmodel, niet fundamenteel anders dan hoe legitieme SaaS-bedrijven opereren. Er zijn duidelijke rollen, verantwoordelijkheden en verdienmodellen.

De developer (ook wel "operator" genoemd) is de technische brein achter de operatie. Deze partij ontwikkelt de ransomware zelf, beheert de command-and-control (C2) infrastructuur, bouwt het affiliate-portaal, regelt de betalingsinfrastructuur en levert continue updates om detectie te omzeilen. Denk aan een softwarebedrijf, maar dan voor malware. Bekende RaaS-operaties als LockBit, BlackCat/ALPHV, Royal en Akira opereren op dit niveau.

De affiliate is de uitvoerende partij. Dit kan variëren van een ervaren cybercrimineel tot iemand zonder enige technische kennis. De affiliate koopt toegang tot het RaaS-platform via een abonnement (vanaf 50 euro per maand voor basisversies) of via een revenue-share model waarbij geen voorafbetaling nodig is. De affiliate selecteert doelwitten, koopt of steelt initiële toegang (vaak via Initial Access Brokers, een apart crimineel ecosysteem), en voert de daadwerkelijke aanval uit — vaak met behulp van stap-voor-stap handleidingen en geautomatiseerde tools.

De supply chain van cybercrime

RaaS staat niet op zichzelf. Het is onderdeel van een breder crimineel ecosysteem met gespecialiseerde dienstverleners, vergelijkbaar met een legitieme supply chain:

• Initial Access Brokers (IAB's): Deze criminelen specialiseren zich in het verkrijgen van initiële toegang tot bedrijfsnetwerken — via phishing, exploits of gestolen credentials. Ze verkopen deze toegang op marktplaatsen voor bedragen van 500 tot 50.000 euro, afhankelijk van de grootte en sector van het slachtoffer. Industriële bedrijven brengen een premium op vanwege de hogere losgeldverwachting.
• Bulletproof hosting: Providers die servers aanbieden in jurisdicties waar rechtshandhaving praktisch onmogelijk is. Zij garanderen dat de C2-infrastructuur operationeel blijft, ongeacht meldingen of takedown-verzoeken.
• Cryptocurrency laundering services: Diensten die het losgeld — betaald in Bitcoin of Monero — witwassen via mixing-services, chain-hopping en valse handelsplatformen.
• Negotiation services: Sommige RaaS-operaties bieden professionele onderhandelaars die communiceren met slachtoffers, betalingsregelingen treffen en zelfs "klantenservice" verlenen na betaling om de decryptie-sleutels te leveren.

Waarom industriële doelwitten aantrekkelijk zijn

Fabrieken, nutsbedrijven en andere industriële organisaties zijn bijzonder aantrekkelijk voor RaaS-affiliates, en dat heeft drie concrete redenen.

Ten eerste: de pijn is direct en meetbaar. Wanneer een kantooromgeving plat gaat, kunnen medewerkers vaak beperkt doorwerken — op papier, via telefoon, met persoonlijke apparaten. Maar wanneer een productielijn stopt, stopt de omzet. Letterlijk. Elke minuut downtime kost geld. Een grote voedingsmiddelenfabrikant verliest al snel 50.000 tot 100.000 euro per uur aan productieverlies. Dit creëert een enorme druk om snel te betalen.

Ten tweede: de verdediging is zwakker. Industriële omgevingen draaien vaak op verouderde systemen — Windows XP, Windows 7, ongepatchte Linux-distributies — die niet meer worden ondersteund met security-updates. EDR-oplossingen zijn vaak niet geïnstalleerd (of kunnen niet geïnstalleerd worden) op HMI's en engineering workstations. Netwerksegmentatie tussen IT en OT is in veel gevallen onvoldoende. Voor een aanvaller is een OT-netwerk vaak aanzienlijk eenvoudiger te compromitteren dan een modern IT-netwerk.

Ten derde: de impact reikt verder dan data. Een ransomware-aanval op een kantooromgeving versleutelt bestanden. Vervelend, maar meestal herstelbaar. Een ransomware-aanval die OT-systemen raakt, kan fysieke processen verstoren: chemische reacties die ontsporen, koelinstallaties die uitvallen, waterzuiveringsprocessen die stoppen. De potentiële schade aan mensenlevens en milieu maakt dat organisaties eerder geneigd zijn te betalen — en hogere bedragen te accepteren.

De cijfers liegen niet

Volgens Dragos steeg het aantal ransomware-aanvallen op industriële organisaties in 2025 met 87% ten opzichte van 2024. Sophos rapporteerde dat 67% van de getroffen productiebedrijven het losgeld betaalde, vergeleken met 34% in andere sectoren. Het gemiddelde losgeldbedrag voor industriële organisaties lag in 2025 op 2,3 miljoen euro — bijna het dubbele van het cross-sectorgemiddelde.

En de trend versnelt. De combinatie van lage instapdrempels (RaaS), aantrekkelijke doelwitten (industrie) en hoge opbrengsten (losgeld) creëert een vliegwieleffect dat steeds meer criminelen aantrekt. In 2025 waren er naar schatting meer dan 60 actieve RaaS-operaties, vergeleken met minder dan 20 in 2021.

Wat dit betekent voor uw verdedigingsstrategie

De industrialisering van ransomware vereist een fundamentele herziening van uw verdedigingsstrategie. U kunt niet langer uitgaan van het idee dat aanvallers technisch hooggeschoold zijn en dat uw organisatie "te klein" of "te oninteressant" is. In het RaaS-model worden doelwitten niet geselecteerd op basis van geopolitieke relevantie, maar op basis van kwetsbaarheid en betalingsvermogen.

Assume breach: Ga ervan uit dat een aanvaller vroeg of laat uw netwerk binnendringt. Richt uw verdediging niet alleen op het voorkomen van initiële toegang, maar vooral op het beperken van de impact. Netwerksegmentatie tussen IT en OT is niet optioneel — het is existentieel.

Offline backups: Zorg voor offline, immutable backups van al uw kritieke systemen — inclusief OT-configuraties, PLC-programma's en HMI-projecten. Test het restore-proces regelmatig. Een backup die u niet kunt terugzetten is geen backup.

Incident response planning: Ontwikkel een specifiek ransomware-playbook dat rekening houdt met OT-specifieke scenario's. Wie beslist over het stilleggen van productie? Wie communiceert met de aanvaller? Wat is het beleid over losgeld betalen? Deze beslissingen wilt u niet voor het eerst nemen tijdens een crisis.

Credential hygiene: Meer dan 80% van de ransomware-aanvallen begint met gestolen of zwakke credentials. Implementeer MFA op alle externe toegangspunten, elimineer gedeelde accounts in OT-omgevingen en monitor actief op credential-misbruik.

Monitoring en detectie: Investeer in OT-specifieke monitoring die afwijkend gedrag detecteert: ongebruikelijke login-tijden, laterale bewegingen tussen IT en OT, onverwachte bestandswijzigingen op HMI-systemen. Hoe eerder u een aanval detecteert, hoe kleiner de impact.

De realiteit onder ogen zien

De democratisering van ransomware is niet te stoppen. De technologie is beschikbaar, het businessmodel is bewezen en de opbrengsten zijn enorm. U kunt dit feit ontkennen, of u kunt uw verdediging hierop aanpassen.

De vraag is niet meer of uw organisatie te maken krijgt met een ransomware-aanval. De vraag is of u er klaar voor bent wanneer het gebeurt. En of u de impact kunt beperken tot een vervelende week in plaats van een existentiële crisis.