Het echte dreigingsbeeld voor het MKB

Waarom dit hoofdstuk bestaat

Veel ondernemers denken dat cybercriminaliteit iets is voor grote bedrijven en banken. De cijfers vertellen een ander verhaal. Het Digital Trust Center (DTC), het onderdeel van het ministerie van Economische Zaken dat ondernemers helpt met digitale veiligheid, ziet al jaren dat het MKB juist een geliefd doelwit is. Kleine bedrijven hebben vaak dezelfde waardevolle data als grote bedrijven — klantgegevens, betaalgegevens, toegang tot leveranciersnetwerken — maar veel minder verdediging. Voor een aanvaller is dat een uitstekende verhouding tussen moeite en opbrengst.

Deze les schetst het echte dreigingsbeeld: welke aanvallen komen daadwerkelijk voor bij Nederlandse MKB-bedrijven, in welke volgorde van impact, en waarom. De rest van de cursus bouwt hierop voort met concrete maatregelen.

Dreiging 1: Phishing — de nummer 1

Phishing is verreweg de meest voorkomende aanvalsvorm en de ingang voor het merendeel van de andere incidenten. Bij phishing doet een crimineel zich voor als een vertrouwde partij — een bank, een leverancier, de Belastingdienst, soms zelfs een collega — om je te verleiden ergens op te klikken, in te loggen op een nepwebsite, of een bijlage te openen die schadelijke software installeert.

Wat phishing in 2026 lastig maakt, is dat het steeds beter is uitgevoerd. Waar phishingmails vroeger vaak slecht Nederlands bevatten, zijn ze nu met AI-vertaling en -schrijfhulp vaak nauwelijks te onderscheiden van echte communicatie. Een phishingmail die zich voordoet als een KVK-melding, een DHL-pakketbericht, of een betalingsherinnering van een bekende leverancier is tegenwoordig eerder regel dan uitzondering.

Het gevaar van phishing zit niet alleen in de eerste klik. Eenmaal binnen — bijvoorbeeld met gestolen inloggegevens van je mailaccount — kan een aanvaller wekenlang meelezen, wachten op het juiste moment (bijvoorbeeld een lopende factuur of overname) en dan toeslaan. Dat brengt ons bij de tweede dreiging.

Dreiging 2: CEO-fraude en factuurfraude

CEO-fraude (ook wel "business e-mail compromise" genoemd) is een vorm van social engineering waarbij een aanvaller zich voordoet als de directeur, een financieel manager, of een vaste leverancier, met als doel een medewerker een betaling te laten doen of bankgegevens te laten wijzigen. In de praktijk zie je vaak dit patroon:

• Een mail die lijkt te komen van de directeur, verstuurd op een moment dat deze bekend afwezig is (net op reis, in een vergadering)
• Urgentie: "Dit moet vandaag nog geregeld worden, ik kan nu niet bellen"
• Een verzoek om een spoedbetaling te doen of een rekeningnummer te wijzigen voor een bestaande factuur

Factuurfraude is een variant hierop: een aanvaller onderschept of vervalst een echte factuur van een leverancier en wijzigt alleen het rekeningnummer. Omdat bedrag, factuurnummer en opmaak kloppen, valt dit gemakkelijk door de mand van een drukke administratie. Bedrijven die geen vier-ogenprincipe hanteren bij betalingen en rekeningwijzigingen zijn hier het kwetsbaarst voor. We gaan hier in les 3 en les 5 dieper op in met herkenningspatronen en een concrete controlestap.

Dreiging 3: Ransomware

Ransomware is gijzelsoftware: eenmaal actief versleutelt het je bestanden en systemen, waarna de criminelen losgeld eisen — vaak in cryptovaluta — voor de decryptiesleutel. Voor een MKB-bedrijf kan een ransomware-aanval het bedrijf dagen tot weken stilleggen: geen toegang tot de boekhouding, geen offertes, geen productieplanning, soms zelfs geen telefooncentrale als die via hetzelfde netwerk loopt.

Wat veel ondernemers niet weten: losgeld betalen is geen garantie dat je je bestanden terugkrijgt, en het financiert direct de volgende aanval — op jou of op een ander bedrijf. De enige structurele bescherming tegen ransomware is een combinatie van preventie (waar deze cursus grotendeels over gaat) en een werkende back-up-strategie, die we uitgebreid behandelen in les 7.

Waarom “wij zijn te klein om interessant te zijn” niet klopt

Aanvallers werken tegenwoordig grotendeels geautomatiseerd. Phishingcampagnes worden naar tienduizenden bedrijven tegelijk gestuurd; ransomware-groepen scannen het internet op kwetsbare systemen zonder onderscheid te maken tussen een eenmanszaak en een beursgenoteerd bedrijf. Je hoeft niet "interessant" te zijn om slachtoffer te worden — je hoeft alleen kwetsbaar te zijn. En met gemiddeld een handjevol mensen die alles doen — van klantcontact tot boekhouding — is de kans dat er ergens een zwakke plek zit in een klein bedrijf vaak groter dan in een grote organisatie met een aparte IT-afdeling.

Daarbij komt: als MKB-bedrijf ben je vaak onderdeel van een grotere keten. Een aanvaller die bij jou binnenkomt, kan van daaruit proberen door te dringen tot je grotere klanten of leveranciers. Dat maakt je bedrijf ook voor anderen een aantrekkelijk tussenstation.

Waar vind je betrouwbare, actuele informatie

Twee Nederlandse bronnen zijn de moeite waard om te kennen en periodiek te raadplegen:

• Digital Trust Center (DTC) — onderdeel van het ministerie van Economische Zaken, specifiek gericht op ondernemers. Publiceert actuele dreigingsbeelden, praktische basismaatregelen en waarschuwingen bij actuele fraudegolven.
• Autoriteit Persoonsgegevens (AP) — de toezichthouder op de AVG. Relevant zodra een incident persoonsgegevens raakt (zie les 6 over de meldplicht datalekken).

Beide instanties zijn geen commerciële partijen en geven kosteloos advies. Het is verstandig om de nieuwsbrief van het DTC te volgen als vast onderdeel van je informatievoorziening, net zoals je de Kamer van Koophandel of Belastingdienst volgt.

Verder lezen

• Digital Trust Center — digitaltrustcenter.nl — actuele dreigingsbeelden en de "Basisscan Cyberweerbaarheid"
• Autoriteit Persoonsgegevens — autoriteitpersoonsgegevens.nl — voor alles rond de meldplicht datalekken