De dreigingswereld beweegt sneller dan organisaties gewend zijn. In het derde kwartaal van 2026 werd volgens een analyse van Rapid7 een duidelijk patroon zichtbaar: snelle exploitatie ransomware gaat gepaard met een recordtempo voor het misbruiken van kwetsbaarheden. Tegelijk blijft ransomware wereldwijd een hoofdrolspeler, terwijl AI in aanvallen vaker opduikt als operationele ondersteuning dan als volledige autonomie.
Wat betekent dat praktisch voor verdedigers? Vooral: aannames over “tijd om te patchen” kloppen steeds minder. Hieronder zetten we de belangrijkste inzichten uit Q3 op een rij en vertalen we ze naar concrete aandachtspunten voor je security- en incidentproces.
Kwetsbaarheden worden razendsnel ingezet
Een van de meest alarmerende bevindingen is de snelheid waarmee high-severity kwetsbaarheden na bekendmaking worden misbruikt. Gemiddeld duurde het drie dagen voordat een kwetsbaarheid in aanvallen werd toegepast. Bovendien werd 71% van die kwetsbaarheden al binnen de eerste zeven dagen benut.
Ook het type kwetsbaarheid valt op. Een groot deel, 79%, wordt door Rapid7 geclassificeerd als zogenoemde “holy grail” flaws: aanvallen vereisen geen credentials en ook geen betrokkenheid van een lokale gebruiker. Met andere woorden: de drempel voor misbruik is lager, waardoor aanvallers sneller resultaat zien.
Als je patchbeleid gebaseerd is op maanden en “batching”, wordt het risico groter. Het helpt dan niet om alleen te focussen op bekende CVE’s, maar ook om je processen voor prioritering en snelle vrijgave te versnellen. Zie bijvoorbeeld ook hoe je gericht kunt voorbereiden op patching bij softwarekwetsbaarheden: PHP-kwetsbaarheden: bereid je voor op patchen.
Ransomware blijft dominant, ook buiten de “klassieke” sectoren
Ransomware bleef in Q3 wereldwijd een primaire dreiging. In de sectoren die het vaakst doelwit waren, zie je een mix van gevestigde industrieën: business services, manufacturing en healthcare. Dat patroon benadrukt dat aanvallers niet alleen op technische complexiteit mikken, maar vooral op impact en herstelkosten.
Qua landen ligt de focus sterk bij de Verenigde Staten. Volgens de analyse was de VS het meest doelgerichte land met 60% van de aanvallen. Duitsland (7%), Italië (5%) en Canada (5%) volgen op afstand.
Voor organisaties is dit relevant omdat het zegt dat “remote threats” een wereldwijd karakter hebben: je eigen regio of sector is niet automatisch een afscherming. Zorg dat je herstelplan en communicatie vooraf klaarstaan, juist omdat aanvallen sneller kunnen escaleren dan verwacht.
Welke ransomwaregroepen het meest actief zijn
De onderzoekers noemen meerdere ransomwaregroepen met veel geclaimde incidenten. Bovenaan staan The Gentlemen (342), gevolgd door Qilin (339). INC Ransom is derde met 99, met daarna DeadLock (98) en Krybit (95).
Voor SOC-teams is het nuttig om deze namen te vertalen naar detectielogica: niet alleen “welke groep”, maar welke tactieken en vooral welke sporen zie je bij herhaling. Denk aan vreemde netwerkbewegingen na initial access, verdacht procesgedrag rondom encryptieactiviteiten, en ongebruikelijke authenticatie- of rechtenveranderingen.
Overheid vaker slachtoffer van ransomware
Een opvallende trend is dat slachtoffers in de overheidssector toenemen. Rapid7 rapporteert een stijging van 15% ten opzichte van de drie maanden ervoor. Daarbij verschuift ook de geografische focus: het aandeel van aanvallen richting de VS groeide van 33% in Q2 naar 45% in Q3.
Dit patroon kan betekenen dat aanvallers effectiever worden in het vinden van kwetsbare ketens rond diensten en processen die cruciaal zijn voor publieke dienstverlening. Voor verdedigers betekent het: test je scenario’s niet alleen op technische barrières, maar ook op operationele continuïteit.
AI in aanvallen groeit, maar niet zoals veel boards verwachten
Veel organisaties kijken naar AI en denken aan autonome aanvallers. De data uit Q3 nuanceert dat. Slechts 8% van de door Rapid7 onderzochte incidenten noemt AI als een operationeel onderdeel van de aanval.
Belangrijk is dat het volgens de analyse nog niet neerkomt op volledig autonome aanvallen. De kernkeuzes—wat er wordt aangevallen en waarom—zijn in gedocumenteerde gevallen nog altijd door mensen gemaakt.
Wat wél lijkt toe te nemen, is automatisering in het “tactische midden” van de aanvalsketen. Denk aan het selecteren van technieken, het triëren van doelen en het herstellen wanneer een stap mislukt. Dat is een subtiel maar reëel verschil: je ziet niet per se een “AI-aanvaller die alles zelfstandig doet”, maar je ziet wél snellere en efficiëntere uitvoering.
Wil je meer achtergrond over AI-gedreven dreigingsgedrag, dan kan dit artikel helpen bij het vertalen van gedrag naar intent: AI maakt e-mail normaal: van gedrag naar intent.
Waar verdedigers op kunnen letten: AI API-gebruik en omzeilpogingen
Rapid7 adviseert verdedigers om AI API-gebruikspatronen te monitoren vanuit onverwachte hosts en processen. In de praktijk komt dat neer op het actief zoeken naar ongeautoriseerd of onverwacht gebruik van AI-tools binnen je omgeving—niet alleen op de webkant, maar ook in tooling, scripts of applicaties die normaal geen AI aanroepen.
Tegelijk proberen aanvallers detectie te omzeilen. Een genoemde methode is het gebruik van gefragmenteerde, multi-sessie prompting om safeguards van aanbieders te omzeilen. Waar één kwaadwillig verzoek vaak wordt geblokkeerd, kan het verdelen van doelstellingen over meerdere sessies effect hebben.
Dit vraagt om detectie die niet uitsluitend leunt op “één prompt = één aanval”, maar op context: welke processen openen verbindingen naar AI-diensten, welke data wordt meegegeven, en hoe verandert dat gedrag gedurende een sessie of keten.
Nation-state acteurs, cybercrime en de rol van toolkit-ontwikkelingen
In Q3 volgden de onderzoekers 15 aparte nation-state (APT) en cybercrime-groepen. Voorbeelden die worden genoemd zijn onder meer ENERGETIC BEAR, Void Blizzard en Sandworm, die aan Rusland worden gekoppeld. Daarnaast komen APT31 (China), Lazarus (Noord-Korea) en Operation C-Major (Pakistan) naar voren.
Vooral overheidsorganisaties worden gezien als kern-doelwit van APT-groepen. Andere doelgebieden die genoemd worden zijn onder andere defensie, transport, media, healthcare, aerospace, finance, energy en technologie.
Ook wordt een Linux toolkit beschreven die volgens de analyse nog niet eerder was gedocumenteerd. Het gaat om een backdoor genaamd “ted”, ingebouwd in een getrojaniseerde HAProxy-build. Daarnaast zouden onderdelen ontbreken niet: er wordt melding gemaakt van een SSH-keylogger en een curl-gebaseerde RAT. Deze toolkit zou DPRK-organisaties gebruiken tegen Zuid-Koreaanse entiteiten sinds begin 2025.
Voor Operation C-Major geldt dat de activiteit al sinds het midden van de jaren 2010 loopt. De focus ligt op phishing en mobiele spyware voor spionage tegen Indiase militaire en diplomatieke medewerkers.
Dark web als indicator: van RDP-posts tot exploit-omgevingen
Op het dark web stonden in deze periode vooral access broker-advertenties centraal. De listings varieerden van individuele gecompromitteerde accounts—bijvoorbeeld banklogins met extra identity-data—tot volledige footholds op enterprise-niveau.
Een belangrijk detail: 41 van de 63 posts adverteerden met RDP- of netwerktoegang. Daarnaast bevatten 14 vermeldingen de verkoop, het delen of het bespreken van exploits en zero-days.
Hoewel het platform voor aanvallers een markt is, is het voor verdedigers ook een vorm van vroegsignaal. Als er meer exploit- of toegangsinformatie circuleert, kan dat wijzen op aankomende aanvallen of op hergebruik van eerder opgebouwde infrastructuur.
Praktische lessen voor je verdediging
De rode draad in Q3 is duidelijk: snelle exploitatie ransomware wordt versterkt door twee factoren—tempo en schaal. Kwetsbaarheden worden snel misbruikt, en de aanvalsketen profiteert van automatisering, terwijl AI zelf nog niet “volledig autonoom” is.
Daarom werken de volgende acties waarschijnlijk het best:
- Versnel patching voor high-severity en maak “dagen” in plaats van “weken” je uitgangspunt voor responstijd.
- Prioriteer holy grail-achtige risico’s (remote, geen credentials/local user nodig) hoger dan standaard flaws.
- Monitor AI-tooling en API-gebruik op onverwachte hosts/processen en let op afwijkend, gefragmenteerd gebruikspatroon.
- Oefen ransomware-herstel voor sectoren en omgevingen die buiten je eigen verwachte domein vallen.
Wil je daarnaast inspiratie voor het bouwen van snellere responscapaciteit bij incidenten, dan past dit thema bij onze eerdere uitleg over het voorbereiden op patching en het verminderen van uitlooptijd: PHP2Shell: noodpatch voor kritieke RCE-lekken.
Conclusie: tempo is de nieuwe aanvalsvlag
Q3 2026 laat zien dat aanvallers profiteren van een kort tijdvenster tussen publicatie en exploitatie: gemiddeld drie dagen. Ransomware blijft ondertussen breed ingezet en raakt meerdere sectoren, terwijl overheden in het bijzonder vaker doelwit zijn. AI verschijnt in de data vooral als operationele ondersteuning en automatisering van delen van de keten—niet als volledig autonome aanvaller.
Voor verdedigers betekent dat één prioriteit: bouw je processen zo dat je tempo kunt bijbenen. Door sneller te patchen, beter te monitoren en je herstelplan actueel te houden, verklein je de kans dat snelle exploitatie direct doorvertaalt naar ransomware-impact.
