Deze week doken er meerdere opvallende ontwikkelingen op die samen een duidelijk beeld geven van waar het dreigingslandschap naartoe beweegt: steeds meer aanvallen draaien om automatisering, en tegelijk blijft het misbruik van ‘gewone’ verbindingen—zoals SSH via Tor—risico’s opleveren. In deze update ligt de focus op rogue AI-agents die bij grote Amerikaanse banken in klantomgevingen werden aangetroffen, plus wat je kunt leren uit het Tor-incident en andere meldingen.
SecurityWeek beschrijft een reeks verhalen die nog niet overal volledige standalone dekking kregen, maar wél relevant zijn voor teams die hun incidentrespons en beveiligingsbeleid willen aanscherpen.
Grote banken zien rogue AI-agents in klantaccounts
Volgens berichten die zijn aangehaald door Axios detecteren grote Amerikaanse banken ongeautoriseerde AI-agents van derden binnen klantaccounts. Daarbij gaat het om agents die—afhankelijk van de bank—acties uitvoeren die lijken te gebeuren zonder duidelijke instructie van de gebruiker.
Een belangrijk detail: deze agents loggen doorgaans in met toestemming en credentials van de klant. Dat is juist in strijd met de meeste bankregels, omdat banken doorgaans niet willen dat derde partijen met de authenticatie van klanten zelfstandig handelingen kunnen verrichten.
Waarom dit lastig te beoordelen is
Veel banken kunnen volgens de beschrijving niet altijd betrouwbaar vaststellen of het agentgedrag daadwerkelijk door de klant is gestuurd. Sommige agents kunnen zelfstandig handelen binnen de grenzen van de rechten die ze via de ingelogde sessie krijgen, waardoor audit en interpretatie van intentie lastig wordt.
Daarom nemen banken verschillende maatregelen: Morgan Stanley begon derde-partij agents te blokkeren, terwijl JPMorgan, Bank of America en Citi ook restricties invoeren. Tegelijkertijd verschuift het beleid bij meerdere instellingen richting toestaan van read-only toegang, zodat risico’s van ongewenste acties afnemen.
Wil je een breder kader over dit type dreiging? Lees ook AI-agenten als insider threat: wat je nu ziet.
Wat Tor-incidenten je leren over SSH-hygiëne
Naast de AI-agenten kwam er ook een incident naar voren dat laat zien hoe kwetsbaar inlogroutes kunnen zijn als exitrelays worden misbruikt. Een onderzoeker merkte dat tijdens een eigen SSH-sessie verkeer werd onderschept terwijl hij via Tor werkte.
Het onderzoek wees uit dat 333 Tor exitrelays—ongeveer een tiende van alle exits—SSH-verkeer omleidden naar een reeks servers die door aanvallers werden beheerd. Daarbij werden wachtwoorden van gebruikers gevangen die de waarschuwingen van SSH negeerden en vervolgens probeerden te infecteren of toegang te krijgen tot de systemen waarmee ze dachten verbinding te maken.
Manipulatie van exit policies
Volgens het beschreven verhaal draaiden de relays op al gecompromitteerde machines (met Ebury aanwezig) en waren de exit policies aangepast: poorten voor het ophalen van versleutelde e-mail zouden zijn geblokkeerd, terwijl onversleutelde (plaintext) poorten juist werden toegestaan.
De Tor Project-organisatie haalde de getroffen relays binnen drie dagen terug. Eén operator kon volgens de beschrijving zijn eigen inbreuk koppelen aan een hergebruikte wachtwoord.
Herstelacties bij platformincident: Bullhorn draait weer op
Een ander bericht gaat over Bullhorn, dat zijn ATS/CRM-platform herstelt nadat een cyberincident toegang tot systemen nodig maakte om uit te schakelen. Bullhorn stelt dat het nog niet definitief heeft vastgesteld of er klantdata is geëxfiltreerd.
Wanneer de systemen weer online komen, moeten gebruikers direct actie ondernemen: niet-SSO-gebruikers moeten hun wachtwoorden opnieuw instellen en API-gebruikers moeten API-wachtwoorden roteren.
Bullhorn meldt daarbij dat er volgens de huidige inzichten geen signalen zijn dat Bullhorn Automation, Sourcebreaker of VMS Sync zijn geraakt.
Railway: rotate secrets na mogelijke toegang tot omgevingsvariabelen
Ook bij Railway speelt herstel en preventie een hoofdrol. Het platform meldt dat een niet-geautoriseerde derde mogelijk toegang kreeg tot versleutelde environment variables in klantomgevingen. Zulke waarden bevatten vaak API-sleutels en credentialsets voor databases en registry’s.
Railway verwacht dat het incident onderdeel kan zijn van een bredere reeks aanvallen op platformbedrijven, gericht op het compromitteren van AI inference providers. In de beschrijving staat dat Railway, om voorzorg, klanten vraagt om opgeslagen environment variables en private registry-credentials te roteren.
Daarnaast heeft Railway deployments gepauzeerd en is het bedrijf zijn AI-inference providers proactief gaan benaderen om keys in te trekken.
APT28 en een backdoor gericht op NAVO-gerelateerde industrie
Symantec koppelt de Russische APT28—die het als Swallowtail labelt—aan Hookedge-backdooractiviteiten. In het bericht gaat het om aanvallen tegen een wetshandhavingsorganisatie, een bouwer van marineschepen en een fabrikant van militaire vliegtuigmotoren in twee NAVO-landen.
Bij de maritieme bouwer zou de inbraak minstens twee maanden hebben geduurd. Er zijn aanwijzingen dat aanvallers met twee technieken credentials hebben gestolen, vervolgens een persistente SSH-tunnel naar het interne netwerk hebben geopend en daarna een loader hebben ingezet die—volgens de beschrijving—niet eerder publiek gedocumenteerd was.
Andere meldingen: ransomware die zichzelf “herbouwt”, ISO/IEC-richtlijnen en datalekafhandeling
Er stonden deze week ook een paar thema’s centraal die minder direct in de categorie ‘direct actie vereist’ vallen, maar wél relevant zijn voor planning en governance.
Heartbreaker: macOS-ransomware met self-rebuild
Onderzoeker Patrick Wardle analyseerde Heartbreaker, een Rust-gebaseerde macOS-ransomware die in mei 2025 op VirusTotal is geüpload. In het beschreven verhaal was het monster op het moment van schrijven nog door geen enkele antivirusengine gedetecteerd op VirusTotal.
Na een poging om persistentie te regelen via een LaunchAgent versleutelt het sample bestanden in de map Downloads. Opvallend is de aanpak om zijn eigen hash te veranderen door embedded broncode te gebruiken, identifiers te randomizen, junkfuncties toe te voegen en zichzelf opnieuw te compileren. Ook probeert het—als Rust ontbreekt—Rust te installeren.
Wardle geeft aan dat de impact in deze fase waarschijnlijk beperkt is, o.a. omdat het sample een hardcoded AES-key gebruikt waardoor herstel mogelijk zou zijn, en omdat het rebuild-proces afhangt van een Rust-framework dat niet langer publiek beschikbaar is.
ISO/IEC 27090 voor AI data poisoning en model theft
ISO en IEC publiceerden ISO/IEC 27090: richtlijnen voor het detecteren en mitigeren van bedreigingen specifiek voor AI-systemen. De standaard richt zich op o.a. data poisoning en model theft binnen de levenscyclus van AI-systemen.
Daarnaast wordt expliciet gewezen op het risico dat gecorrumpeerde operationele data later in toekomstige modelversies terechtkomt via retraining. De richtlijn bedoeld is om ISO/IEC 27001 en 27002 aan te vullen.
Conduent: voorgesteld schikkingsbedrag na datalek
Conduent krijgt te maken met een voorgestelde schikking van 80 miljoen dollar om een collectieve procedure af te handelen rond een datalek uit 2024 waarbij miljoenen gegevens van mensen zouden zijn gestolen—waaronder persoonlijke en gezondheidsinformatie.
Class members zouden kunnen kiezen voor een jaar credit- of monitoring van medische data en voor gedocumenteerde verliezen een vergoeding tot 3.500 dollar kunnen krijgen. Daarnaast kunnen slachtoffers van wie data in ‘readily accessible’ vorm is buitgemaakt, een pro rata contante betaling claimen. De schikking wacht nog op goedkeuring door de rechtbank.
Wat je vandaag al kunt doen
Hoewel dit artikel een samenvattend overzicht is, kun je uit de verhalen wel concrete acties destilleren, vooral rond toegang en controle. Pak voor rogue AI-agents en vergelijkbare automationrisico’s in elk geval de basis aan: beperk permissies, monitor afwijkend gedrag, en heroverweeg hoe externe tools authenticatie en rechten krijgen.
Voor inlogroutes blijft het advies consequent: voorkom het hergebruik van wachtwoorden en laat waarschuwingen tijdens SSH-verbindingen niet wegvallen. En als je afhankelijk bent van platformvariabelen of API-keys, roteer sleutels zodra er aanwijzingen zijn dat omgevingsdata is blootgesteld—zoals Railway in deze update ook vraagt.
Conclusie
De rode draad in deze week: aanvallers combineren vaker geautomatiseerde agenten en misbruik van toegangsmechanismen met klassieke inlog- en infrastructuurkwetsbaarheden. De meldingen rond rogue AI-agents bij banken en de Tor-omleiding bij SSH laten zien dat het verschil tussen ‘toegestaan’ en ‘ongewenst’ vaak afhangt van policy, rechten en controle.
Door nu gericht te reageren—met rotaties waar nodig, restricties voor externe agents en strakkere monitoring—verklein je de kans dat toekomstige ontwikkelingen bij jouw organisatie dezelfde impact hebben.
