We denken bij cyberincidenten vaak aan briljante hackers, geavanceerde malware en geraffineerde aanvallen. Bij nadere analyse blijkt echter regelmatig dat een gebrek aan aandacht, slechte keuzes of regelrechte stommiteiten van management, leveranciers of IT-beheerders het incident mogelijk maakten of de gevolgen aanzienlijk hebben vergroot.
Dat noemen we Cybernaïviteit
Hieronder een aantal opvallende voorbeelden.
Te bizar om te verzinnen. Toch zijn ze allemaal echt gebeurd.
Wie had het wachtwoord ‘123456’ ooit kunnen raden? Iedereen. | oktober 2026
Een hacker kreeg via een beheerdersaccount met het wachtwoord 123456 toegang tot systemen van een Deens IT-bedrijf met legitieme toegang tot het nationale persoonsregister.
Daarbij werden gegevens van ongeveer 8,8 miljoen personen ingezien, waaronder namen, adressen en persoonsnummers.
Volgens berichtgeving had de aanvaller 21 dagen en 17 uur toegang en werden miljoenen geautomatiseerde zoekopdrachten uitgevoerd.
Cyberweerbaarheid begint vaak niet bij ingewikkelde technologie, maar bij het voorkomen van eenvoudige fouten.
Zuinigheid kan erg duur zijn. | oktober 2026
Hackers troffen in Frankrijk honderden supermarkten door de besturing van koelinstallaties te manipuleren. Door op afstand de ontdooifunctie te activeren, gaven de installaties warmte af in plaats van te koelen. Daardoor dreigden grote hoeveelheden verse en diepgevroren producten verloren te gaan. Bij sommige winkels liep de temperatuur zelfs op tot ongeveer 50 graden.
De aanval trof onder meer winkels van Intermarché, Coopérative U, Carrefour, E.Leclerc en Monoprix. Volgens de leverancier Danfoss ging het vooral om verouderde koelsystemen die geen software- en beveiligingsupdates meer ontvingen. Het bedrijf gaf aan klanten al langer te hebben geadviseerd deze systemen te vervangen of te moderniseren.
Wat vandaag een kostenbesparing lijkt, kan morgen een kostbare schadepost blijken.
Met zoveel cybernaïviteit is een hacker overbodig. | oktober 2026
Nederlandse onderzoekers vonden binnen een paar uur 8.547 kwetsbare beheersystemen van zonne- en windparken. Daarvan stonden er 141 in Nederland.
Op 181 locaties konden ze de installatie volledig bedienen. Met één druk op de knop konden ze een windturbine of zelfs een compleet windpark stilleggen.
Geen geraffineerde hack. Geen digitale James Bond.
De besturing van complete energieparken bleek rechtstreeks vanaf internet bereikbaar. In sommige gevallen was zelfs geen inlogscherm aanwezig.
Cybercriminelen hoeven niet in te breken als je zelf de deur al open laat staan.
Prioriteiten stellen is ook een keuze. | september 2026
Laatst troffen we een actieve ClickFix-besmetting aan op de website van een Nederlands marketingbedrijf. Dat kan gebeuren. Niemand is immuun voor fouten, kwetsbaarheden of een geslaagde aanval.
Wat ons verbaasde, was niet de besmetting zelf.
We hebben deze direct gemeld bij de juiste personen. Niet omdat het ons probleem was, maar omdat je niet wilt dat bezoekers van een website ongemerkt malware oplopen.
Je zou verwachten dat zo’n melding leidt tot directe actie. Desnoods haal je tijdelijk de hele website offline. Niet ideaal voor je marketing, maar nog altijd beter dan bezoekers blootstellen aan een bekende besmetting.
Dat gebeurde niet.
Ruim twee dagen later was de besmetting pas verwijderd.
Cybersecurity stond blijkbaar niet bovenaan de actielijst.
De echte schade begon bij een een cyber naïef management. | september 2026
Bij de Citrix-hack van het Openbaar Ministerie in 2025 ging de organisatie wekenlang grotendeels offline en liepen 9.000 rechtszaken vertraging op. Hackers gebruikten een zerodaylek in Citrix, maar dat was niet de grootste fout.
De monitoring was gestopt. Budget kwam te laat en de nieuwe hulpmiddelen waren nog niet aangesloten. Brandjes blussen kreeg voorrang. Structurele beveiliging moest maar wachten. Daardoor konden hackers mogelijk een maand lang onopgemerkt hun gang gaan.
De hack begon bij Citrix. De echte schade begon bij het management.
Eén verkeerde handeling, 552.000 bestanden weg. | augustus 2026
Bij de gemeente Epe werd een medewerker in 2026 via ClickFix misleid om zelf een schadelijke opdracht uit te voeren. Twee dagen later hadden hackers bijna 552.000 bestanden gedownload. Persoonsgegevens van bijna alle inwoners werden gestolen, waaronder BSN’s en 845 kopieën van geldige paspoorten, identiteitskaarten en rijbewijzen. Bijna duizend identiteitsbewijzen dus.
Natuurlijk maakte de medewerker een fout. Maar één fout mag nooit genoeg zijn om een complete interne bestandsserver leeg te trekken.
De aanval begon met ClickFix. Wat volgde was een serie beveiligingslagen die allemaal minder robuust bleken dan bedoeld. Een te kraken beheerderswachtwoord, een onvoldoende beveiligd noodaccount en uiteindelijk toegang tot gegevens die nooit bereikbaar hadden mogen zijn.
Achter iedere beveiligingslaag bleek de volgende net zo zwak ingericht.