NCC ziet ransomware-activiteit met 3 procent stijgen

In het afgelopen kwartaal hebben wereldwijd opererende cybercriminele groepen zich opnieuw gericht op bekende ecosystemen voor softwareontwikkeling. In plaats van organisaties rechtstreeks aan te vallen, richten cybercriminelen zich steeds vaker op het compromitteren van software- en ontwikkeltools waar duizenden bedrijven op vertrouwen. Hierdoor kan één aanval zich als een kettingreactie over meerdere organisaties verspreiden. Hiermee zijn supply chain-aanvallen een van de meest effectieve methoden voor grootschalige inbreuken geworden.

TeamPCP is uitgegroeid tot een van de meest prominente groepen die met dit soort aanvallen in verband worden gebracht. Ze voeren campagnes uit waarbij gecompromitteerde software-afhankelijkheden en ontwikkel workflows ervoor kunnen zorgen dat er verderop in de keten schade ontstaat voordat aanvallen worden gedetecteerd.

Industrie blijft meest getroffen sector

De industriële sector bleef de meest getroffen sector, met bijna een derde (30%) van alle ransomware-aanvallen wereldwijd in Q2 2026, gevolgd door gevolgd door ‘Consumer Discretionary’ en IT (23%). Deze drie sectoren waren ook in juni het meest getroffen doelwit, met op de eerste plaats de industriële sector met 183 (28%) aanvallen, gevolgd door Consumer Discretionary met 166 (25%) en IT met 63 (9%). Noord-Amerika was de meest getroffen regio, goed voor bijna de helft van alle aanvallen wereldwijd (44%). In juni was dit opnieuw de meest getroffen regio met 275 (41%) aanvallen, gevolgd door 153 (23%) in Europa en 133 (20%) in Azië.

Qilin bleef voor het vijfde kwartaal op rij de meest actieve cybercriminele groep, verantwoordelijk voor 14% (301) van alle aanvallen in Q2. The Gentleman groep volgde met 238 slachtoffers. DragonForce is de derde meest actieve cybercriminele groep, met 145 aanvallen. In de afgelopen drie maanden kwam KryBit als nieuwkomer in de top 10 van meest actieve ransomwaregroepen terecht.

In Q2 bleven bedrijfs-VPN's en met internet verbonden edge-apparatuur de belangrijkste doelwitten voor aanvallers. Hierbij varieerden de aanvallers van opportunistische hackers tot ‘ransomware-as-a-service’-aanbieders en door staten gesteunde APT-groepen. Zij maakten misbruik van softwarekwetsbaarheden om initiële toegang te verkrijgen en verder door te dringen in gecompromitteerde netwerken.

Kwetsbaarheden die specifieke VPN’s of hun fabrikanten troffen, vormden een groot deel van de meest voorkomende threat intelligence alerts die NCC Group in de eerste helft van 2026 heeft uitgegeven, waarbij veel van deze alerts als ‘hoog’ of ‘kritiek’ werden beoordeeld.

Continue monitoring

“Supply chain-aanvallen blijven voor cybercriminelen een van de meest aantrekkelijke manieren om organisaties aanzienlijke operationele, financiële en reputatieschade toe te brengen. We zien dat deze aanvallen een steeds grotere omvang aannemen en steeds geavanceerder worden. Bedrijven moeten er daarom zorgen voor continue monitoring in plaats van ad hoc-maatregelen”, zegt Matt Hull, VP en Head of Cyber Intelligence and Response bij NCC Group. “Hoewel het aantal ransomware-aanvallen het afgelopen kwartaal niet wezenlijk is toegenomen, zet de algemene stijgende trend zich voort en blijven VPN’s een aantrekkelijk doelwit. Gezien de aanhoudende geopolitieke spanningen, snelle ontwikkelingen op het gebied van AI en de steeds geavanceerdere aanvalsmethoden moeten organisaties veerkrachtig en proactief blijven in hoe ze cybersecurity benaderen en cybersecurity behandelen als een board-level issue.”

Het volledige rapport is hier te vinden.