Cybercriminelen richten zich steeds nadrukkelijker op identiteiten en bestaande toegangsmiddelen binnen organisaties. Volgens de nieuwste Q2 2026 Incident Response Trends van Cisco Talos was phishing in het tweede kwartaal verantwoordelijk voor meer dan 50 procent van de onderzochte incidenten. In het voorgaande kwartaal lag dat aandeel nog op ongeveer een derde.
Ook misbruik van authenticatie nam toe. In 65 procent van de onderzochte incidenten werd volgens Talos misbruik van authenticatie vastgesteld. Aanvallers proberen daarbij onder meer multifactorauthenticatie te omzeilen of bestaande accounts over te nemen.
Legitieme software wordt misbruikt
Een andere ontwikkeling is het toenemende gebruik van reguliere software door cybercriminelen. In plaats van uitsluitend eigen kwaadaardige programma’s te installeren, maken aanvallers gebruik van bestaande beheer- en ondersteuningstools.
Talos zag bijvoorbeeld dat ransomwaregroepen gebruikmaakten van MeshAgent en Zoho Assist om toegang tot systemen te behouden. Omdat dergelijke toepassingen ook voor legitieme doeleinden worden gebruikt, kunnen kwaadaardige activiteiten moeilijker te onderscheiden zijn van normaal netwerkverkeer.
Ransomware speelde in het tweede kwartaal een rol bij ruim 20 procent van de onderzochte incidenten.
Zorg, overheid en maakindustrie veelvuldig doelwit
De zorgsector was volgens Cisco Talos voor het tweede kwartaal op rij de meest aangevallen sector. Daarna volgden de overheid en de maakindustrie.
Deze organisaties zijn aantrekkelijke doelwitten vanwege de gevoelige informatie die zij beheren en de grote gevolgen wanneer systemen tijdelijk niet beschikbaar zijn.
Ook phishing via QR-codes wordt volgens Talos gebruikt om medewerkers naar frauduleuze websites of inlogomgevingen te leiden.
Meer aandacht voor identiteit en afwijkend gedrag
Volgens Jan Heijdra, Field CTO Security & AI bij Cisco Benelux, kunnen cybercriminelen identiteitsaanvallen relatief eenvoudig op grote schaal uitvoeren.
Hij adviseert organisaties daarom niet uitsluitend te vertrouwen op traditionele beveiligingsmaatregelen, maar ook afwijkend gedrag binnen systemen en netwerken actief te controleren.
Daarnaast noemt Cisco drie concrete maatregelen:
- gebruik phishing-bestendige authenticatie, bijvoorbeeld met fysieke beveiligingssleutels;
- bewaar logbestanden minimaal 90 dagen centraal zodat incidenten goed onderzocht kunnen worden;
- installeer beveiligingsupdates voor met internet verbonden systemen zo snel mogelijk.
Ook het beperken van grote hoeveelheden uitgaande e-mail kan volgens Cisco helpen om misbruik van gecompromitteerde accounts voor phishingcampagnes tegen te gaan.
Het volledige onderzoek is gepubliceerd in de Q2 2026 Incident Response Trends van Cisco Talos.
Bron: Cisco Talos / Cement Communications