Ransomware-as-a-Service: voor €50 kan iedereen uw fabriek aanvallen

Iemand zonder enige technische achtergrond schaft voor enkele tientallen euro's een kant-en-klaar ransomwarepakket aan, inclusief handleiding, ondersteuning en een dashboard om de campagne te volgen. Enkele dagen later ligt een productielijn stil. Dat is geen toekomstbeeld maar de werking van Ransomware-as-a-Service.

De tijd dat een aanval technische hoogstandjes vergde, is voorbij. De criminele economie heeft het model van de softwaresector overgenomen: schaalbare platformen, abonnementen, partnerprogramma's en ondersteuning rond de klok. Het gevolg is een industrialisering waarbij de drempel om een aanval uit te voeren vrijwel is verdwenen, terwijl de gevolgen voor het slachtoffer onveranderd groot zijn.

Hoe het RaaS-businessmodel werkt

Om te begrijpen waarom dit model zo doeltreffend is, helpt het om het te zien voor wat het is: een uitgewerkt bedrijfsmodel met heldere rollen en verdiensleutels.

De developer vormt de technische kern van de operatie. Deze partij ontwikkelt de ransomware, beheert de aanstuurinfrastructuur, bouwt het portaal voor partners, regelt de betalingsafhandeling en levert doorlopend updates om detectie voor te blijven. In opzet verschilt dat weinig van een softwarebedrijf.

De affiliate voert uit. Dat kan een ervaren cybercrimineel zijn, maar evengoed iemand zonder technische kennis. De affiliate koopt toegang tot het platform via een abonnement of via een verdeelsleutel waarbij vooraf niets hoeft te worden betaald, selecteert doelwitten, koopt of steelt de eerste toegang, en voert de aanval uit aan de hand van stapsgewijze instructies en geautomatiseerde hulpmiddelen.

De supply chain van cybercrime

RaaS staat niet op zichzelf, maar maakt deel uit van een keten van gespecialiseerde dienstverleners:

• Initial access brokers: criminelen die zich toeleggen op het verkrijgen van eerste toegang tot bedrijfsnetwerken, via phishing, misbruik van kwetsbaarheden of gestolen inloggegevens. Die toegang wordt vervolgens doorverkocht, waarbij industriële doelwitten meer opbrengen vanwege de hogere verwachte losgeldopbrengst.
• Hosting buiten bereik van opsporing: aanbieders die servers plaatsen in jurisdicties waar handhaving in de praktijk niet plaatsvindt, zodat de infrastructuur operationeel blijft.
• Witwasdiensten: diensten die betalingen in cryptovaluta versluieren via mengdiensten en tussenliggende transacties.
• Onderhandelingsdiensten: sommige operaties zetten professionele onderhandelaars in die met slachtoffers communiceren, betalingsregelingen treffen en na betaling de ontsleutelsleutels verstrekken.

Waarom industriële doelwitten aantrekkelijk zijn

Fabrieken en nutsbedrijven zijn om drie redenen aantrekkelijk, en die redenen versterken elkaar.

De schade is onmiddellijk en meetbaar. Valt een kantooromgeving uit, dan kan er beperkt worden doorgewerkt. Staat een productielijn stil, dan stopt de omzet op datzelfde moment. Hoe groot dat verlies per uur is, hangt af van uw marge en volume, maar het loopt vanaf het eerste uur op en het stopt pas als de lijn weer draait. Die druk vertaalt zich rechtstreeks in bereidheid om snel te betalen.

De verdediging is zwakker. Industriële omgevingen draaien vaak op besturingssystemen die niet langer worden ondersteund. Endpointdetectie ontbreekt op bedieningsstations en engineering workstations, of kan daar niet worden geïnstalleerd. De scheiding tussen kantoor- en productienetwerk is in veel gevallen onvolledig. Voor een aanvaller is een OT-netwerk daarmee doorgaans eenvoudiger binnen te komen dan een actueel ingericht kantoornetwerk.

De gevolgen reiken verder dan gegevens. In een kantooromgeving worden bestanden versleuteld, wat vervelend is maar meestal herstelbaar. Raakt de aanval de procesautomatisering, dan komen fysieke processen in het geding: reacties die uit hun regelbereik lopen, koelinstallaties die uitvallen, zuiveringsprocessen die stilvallen. Die mogelijke gevolgen voor veiligheid en milieu maken organisaties eerder bereid te betalen, en hogere bedragen te aanvaarden.

De cijfers

Het OT Cybersecurity Year in Review 2026 van Dragos laat zien hoe snel dit veld beweegt. In 2025 werden wereldwijd 3.300 industriële organisaties getroffen door ransomware, tegen 1.693 het jaar daarvoor. De ransomware-activiteit nam met 64% toe en het aantal groepen dat zich specifiek op industriële doelen richt groeide van 80 naar 119. De maakindustrie was daarbij de zwaarst getroffen sector.

Over de bedragen bestaat een hardnekkig misverstand, dat het waard is recht te zetten. Coveware rapporteerde over het tweede kwartaal van 2026 een mediane losgeldbetaling van circa 129.000 euro (150.000 dollar), terwijl de gemiddelde betaling op circa 1,6 miljoen euro (1,88 miljoen dollar) uitkwam. Dat verschil komt voort uit een klein aantal zeer hoge betalingen dat het gemiddelde vertekent. Voor een middelgrote industriële organisatie is de mediaan het bruikbare getal.

Wat dit betekent voor uw verdedigingsstrategie

De industrialisering van ransomware vraagt om een andere uitgangspositie. De aanname dat aanvallers technisch hoogbegaafd zijn en dat uw organisatie te klein of te oninteressant is, houdt geen stand: in dit model worden doelwitten niet gekozen op grond van betekenis, maar op grond van bereikbaarheid en betalingsvermogen.

Ga uit van een geslaagde inbraak. Richt uw verdediging niet uitsluitend op het voorkomen van toegang, maar vooral op het beperken van de gevolgen. Segmentatie tussen kantoor- en productienetwerk is daarbij het onderdeel met de grootste uitwerking.

Zorg voor offline back-ups. Onveranderbare, van het netwerk gescheiden kopieën van alle kritieke systemen, met inbegrip van OT-configuraties, besturingsprogramma's en projectbestanden. Beproef het terugzetten met regelmaat; een back-up die nooit is hersteld, is een aanname.

Werk uw incidentplan uit. Stel een draaiboek op dat rekening houdt met OT-scenario's. Wie besluit tot het stilleggen van de productie? Wie voert de communicatie met de aanvaller? Wat is het standpunt over betalen? Dat zijn beslissingen die u niet voor het eerst wilt nemen terwijl de lijn stilstaat.

Beheer uw toegangsgegevens. Gestolen inloggegevens vormen al jaren een van de belangrijkste toegangswegen, al is die positie inmiddels overgenomen door het misbruiken van kwetsbaarheden: volgens het Verizon-rapport van 2026 begon 31% van de datalekken daarmee, tegen 20% een jaar eerder. Beide routes vragen dezelfde basismaatregelen: multifactor-authenticatie op alle externe toegangspunten, geen gedeelde accounts in OT-omgevingen, en tijdig patchen van wat vanaf het internet bereikbaar is.

Zorg dat u het ziet gebeuren. Investeer in monitoring die afwijkend gedrag op het industriële netwerk opmerkt: ongebruikelijke inlogtijden, verkeer tussen kantoor en productie dat er niet hoort te zijn, onverwachte wijzigingen op bedieningsstations. Hoe eerder u een aanval opmerkt, hoe beperkter de gevolgen blijven.

De realiteit onder ogen zien

De verbreiding van ransomware laat zich niet terugdraaien. De techniek is beschikbaar, het bedrijfsmodel werkt en de opbrengsten zijn aanzienlijk. Wat u wel in de hand heeft, is de vraag hoeveel schade een aanval kan aanrichten voordat u ingrijpt.

Daarmee verschuift de opgave. Niet het uitsluiten van een aanval is het doel, maar het begrenzen ervan tot een verstoring van dagen in plaats van een bedreiging van de continuïteit. Dat verschil wordt bepaald door beslissingen die vooraf zijn genomen, niet tijdens het incident.