Een mail van de groothandel

Een voorbeeld, samengesteld uit wat dit jaar elders is gebeurd. Op een dinsdagmiddag komt bij de administratie een mail binnen van de vaste groothandel: per 1 november geldt een nieuw rekeningnummer, en of de openstaande facturen daarop voldaan kunnen worden. De toon klopt, de contactpersoon klopt, en de mail verwijst naar een bestelling die vorige week echt is geplaatst. Twee weken later belt de groothandel over achterstallige betalingen. In de tussentijd stond in de mailbox van de administratie een regel die elke mail van de echte groothandel ongezien naar een vergeten map verplaatste.

Toon de verschillen

Het voorbeeld is verzonnen; het gereedschap erachter bestaat echt. Tussen juli en september drong één aanvaller de Microsoft 365-mailboxen van 79 organisaties binnen met gestolen inlogsessies, zonder ooit een wachtwoord nodig te hebben, en verborg met mailregels een deel van de post voor de eigenaar zelf. Voor een servicebedrijf, waar de administratie dagelijks facturen van groothandels, onderaannemers en uitzendbureaus verwerkt, ligt dit scenario het dichtst bij huis.

Wat AI aan de rekensom verandert

Aan de aard van de aanvallen verandert AI minder dan vaak wordt gesuggereerd, aan de kosten en de geloofwaardigheid des te meer.

Om te beginnen wordt de misleiding overtuigender. Volgens Microsoft wordt een phishingmail die door AI is geschreven ruim vier keer zo vaak aangeklikt als een handgeschreven exemplaar: 54 tegen 12 procent, in het rapport over 2025. Daarmee verdwijnen de signalen waarop medewerkers jarenlang zijn getraind, zoals de kromme zinnen, de vreemde aanhef en de spelfouten, en blijft er een keurige mail over in foutloos Nederlands.

Daarnaast is inbreken spotgoedkoop geworden. Eind september zette een Chineessprekende hacker AI-agents aan het werk met een opdracht van minder dan honderd tekens. Volgens onderzoeker Snorre Fagerland van het beveiligingsbedrijf NorForge probeerden die agents ruim twaalfhonderd websites, vooral van webwinkels in de Verenigde Staten, Canada, Australië en Japan, en kwamen ze bij meer dan honderd bedrijven binnen, voor ongeveer vijftig dollar per geslaagde inbraak. Bij die prijs hoeft een aanvaller niet meer te kiezen wie hij probeert. Wie denkt te klein te zijn om interessant te zijn, rekent nog met de prijzen van vroeger.

En een lek wordt sneller misbruikt. Toen in oktober twee met hulp van AI gevonden fouten in PHP bekend werden, de software achter een groot deel van alle websites, en DigiD uit voorzorg offline ging, bleken aanvallers het lek al vier dagen eerder uit te proberen.

Dat dit geen ver-van-ons-bedshow is, laten de cijfers dichter bij huis zien. Nederland stond in de eerste helft van 2026 op de negende plaats in Europa van landen waar klanten van Microsoft het vaakst door cyberaanvallen werden geraakt, en politie en OM noemen AI in het Cybercrimebeeld Nederland 2026 een katalysator die het tempo en de schaal van aanvallen vergroot. Minister Van Weel waarschuwde directies begin oktober dat ongefundeerd optimisme en naïviteit duur kunnen uitpakken. De NCTV plaatste daar eerder een nuchtere kanttekening bij die in elk gesprek over dit onderwerp thuishoort: de bestaande beveiligingsmaatregelen werken nog steeds.

De administratie en de mailbox

Voor een technisch servicebedrijf verdienen drie plekken aandacht, en naar onze inschatting is de administratie veruit de waarschijnlijkste plek waar het misgaat. Daar komt het geld binnen en gaat het weer de deur uit, en daar richt de misleiding zich op: de mail over een gewijzigd rekeningnummer, de factuur van een onderaannemer die net iets anders oogt, of een telefoontje van een stem die klinkt als de directeur en vanaf een bouwplaats om een spoedbetaling vraagt. AI kan zulke stemmen inmiddels overtuigend nabootsen.

Tweestapsverificatie maakt het inbrekers flink lastiger, maar de 79 organisaties laten zien dat een gestolen inlogsessie die drempel omzeilt. Daarom is de goedkoopste maatregel hier ook de sterkste: een vaste afspraak dat een nieuw rekeningnummer of een ongebruikelijk betaalverzoek altijd wordt nagebeld via een nummer dat al bekend was. Die afspraak werkt ook als de mail perfect is, en juist een foutloze mail is tegenwoordig een reden om even te bellen.

Gedeelde inlogs en de tablet in de bus

De tweede plek ligt in de eigen systemen. Hoe verder de automatisering van een servicebedrijf vordert, hoe meer één gestolen inlog waard wordt. Waar een wachtwoord vroeger toegang gaf tot een agenda, opent het in een goed gekoppelde omgeving in één keer de planning, de klanthistorie, de codes van sleutelkastjes en de facturatie. Waar monteurs nog een gedeeld account gebruiken voor de werkbon-app of het planbord, komt daar een tweede probleem bij. Een gedeelde inlog is een sleutel die niemand kan intrekken zonder iedereen buiten te sluiten, en dus blijft hij ook na het vertrek van een monteur gewoon werken.

Daar komt de buitendienst bij. De tablet of telefoon van een monteur bevat de werkbon-app, de mail en vaak de app waarmee installaties op afstand worden uitgelezen, en ligt een groot deel van de dag in een bus op straat. We vinden daarom dat een koppeling pas af is als vastligt wie de sleutel beheert en hoe die wordt ingetrokken. Dat hoort bij het onderhoud waarover het eerder in dit Logboek ging, en het verdient dezelfde aandacht als de vraag of de koppeling werkt.

De sleutels van klanten

De derde plek is de minst zichtbare en daardoor de lastigste. Gebouwbeheersystemen, regelaars van klimaatinstallaties, toegangscontrole, omvormers en routers worden door een servicebedrijf geplaatst, ingeregeld en daarna vaak op afstand onderhouden. De toegang daartoe ligt bij het servicebedrijf, in de vorm van een wachtwoord in de planningssoftware, een verbinding op de laptop van de werkvoorbereider of een app op de telefoon van de monteur. Bij elkaar vormen die toegangen een sleutelbos van gebouwen die niet van het bedrijf zelf zijn, en als het daar misgaat, valt de schade bij de klant.

Ook hier verkort AI de tijd tussen het bekend worden van een lek en het misbruik ervan, en juist deze apparaten zijn traag bij te werken. Het PHP-lek van oktober zit volgens CSO Online ook in de beheerschermen van gebouwbeheerpanelen en bedieningspanelen van technische installaties, waar de eigenaar de software niet zelf kan bijwerken en moet wachten op de fabrikant. Fabrikant Delta Controls bracht al een update uit voor zijn platform voor gebouwbeheer, terwijl de bijbehorende regelaars voor klimaat en ruimtes eind oktober nog op nieuwe firmware wachtten.

Daarmee komt een vraag op tafel waarop een servicecontract lang niet altijd antwoord geeft: wie werkt het kastje bij? De fabrikant levert de update, de klant is eigenaar van het apparaat en het servicebedrijf heeft het onderhoudscontract en de verbinding op afstand. Tussen die drie partijen kan een lek jarenlang blijven zitten, omdat elk van hen redelijkerwijs aanneemt dat een ander het oppakt. Een kastje waarvan niemand weet dat het bestaat, krijgt nooit een update.

De klant gaat ernaar vragen

Sinds 15 augustus geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Zo'n achtduizend organisaties in sectoren als zorg, drinkwater, energie en de levensmiddelenbranche moeten ernstige incidenten binnen 24 uur melden en passende maatregelen nemen, en hun bestuurders kunnen persoonlijk worden aangesproken. Albert Heijn was in oktober een van de eersten die een grote hack onder de nieuwe wet moest melden.

Voor een installatiebedrijf zit de betekenis in de keten. Toeleveranciers krijgen van de wet zelf geen verplichtingen. Organisaties die eronder vallen, moeten wel de risico's van de bedrijven waarmee ze zaken doen in kaart brengen, en kunnen daar eisen aan verbinden. Een ziekenhuis waarvan het gebouwbeheer op afstand door een installateur wordt onderhouden, moet die installateur dus meewegen in zijn eigen risicoanalyse. Advocatenkantoor CMS verwacht dat dit terugkomt in contracten, met afspraken over beveiligingsnormen, over het melden van incidenten en over medewerking aan controles.

Veel van die vragen moeten nog komen. Een dag voordat de wet inging, stonden pas 2.942 organisaties in het register van het NCSC, terwijl er naar schatting acht- tot tienduizend onder vallen. Wie de vragen straks kan beantwoorden met een overzicht van de eigen toegangen en een paar heldere afspraken, onderscheidt zich van de concurrent die eerst moet uitzoeken welke kastjes hij eigenlijk beheert.

Moet een servicebedrijf zich zorgen maken?

Het beeld van de AI die op eigen houtje elk systeem kraakt, is overdreven. Bij de eerste grote aanvalscampagne waarin AI het meeste werk deed, vorig najaar, verzon het model regelmatig resultaten, zodat de mensen erachter alles moesten nalopen. Wat wel verandert, is minder spectaculair en daardoor gevaarlijker: misleiding wordt geloofwaardig, het uitproberen van een inbraak kost bijna niets, en daarmee verdwijnt de bescherming die een klein bedrijf ontleende aan zijn onopvallendheid. De zwakke plekken zelf zijn de oude bekenden. Wie die op orde brengt, haalt het grootste deel van het risico weg, en daarvoor is geen speciale software met AI nodig.

Zeven stappen voor een bedrijf met een tiental monteurs

Geen van deze stappen vraagt een eigen IT-afdeling of een groot budget. Ze vragen vooral iemand die ze afmaakt.

1. Wijs één eigenaar aan in de directie. De Cyberbeveiligingswet legt het onderwerp bij klanten in de bestuurskamer, en daar hoort het bij hun leveranciers ook thuis. Eén naam, en eens per maand een vast moment op de agenda.
2. Voer een terugbelregel in. Elke betaling naar een nieuw rekeningnummer, elk ongebruikelijk betaalverzoek en elk verzoek om toegang op afstand wordt bevestigd via een telefoonnummer dat al bekend was, ook als de directeur zelf lijkt te bellen.
3. Schaf gedeelde inlogs af. Persoonlijke accounts met tweestapsverificatie voor werkbon-, plannings- en mailsoftware, en accounts van vertrokken monteurs en ongebruikte leveranciersaccounts direct weg.
4. Laat de mailregels nalopen. De beheerder van de mail controleert periodiek welke regels in de mailboxen mail doorsturen of verplaatsen, en stelt een waarschuwing in zodra er een nieuwe bij komt.
5. Beheer tablets en telefoons centraal. Updates gaan automatisch, een kwijtgeraakt toestel is op afstand te wissen, en de werkbon-app draait alleen op toestellen die het bedrijf kent.
6. Maak de sleutelbos zichtbaar. Een lijst van elke toegang op afstand tot installaties van klanten, met per apparaat de fabrikant, wie er inlogt en wie de updates doet. Begin bij klanten in zorg en energie, haal standaardwachtwoorden weg en leg de afspraken over updates vast in het onderhoudscontract.
7. Bereid het slechte nieuws voor. Een back-up die los staat van het netwerk, een bellijst voor als het misgaat en een paar kant-en-klare antwoorden voor de vragenlijst die klanten gaan sturen. De Basisscan Cyberweerbaarheid van het Digital Trust Center is een redelijk vertrekpunt.