Managers nieuw hoofddoelwit van cybercriminelen

Het onderzoek van het cybersecuritybedrijf keek naar de beginfase van een grootschalige ransomwarecampagne. ThreatLabz bracht in een periode van een maand 351 slachtoffers bij 334 verschillende organisaties in kaart. De resultaten tonen aan dat slachtoffers niet willekeurig gekozen worden: de aanvallers richten zich gericht op personen met brede toegang tot financiële processen, gevoelige documenten en operationele besluitvorming.

Wel zakelijke impact, geen IT-beheerdersrechten

Cybersecurityteams richten hun beveiligingsbeleid traditioneel sterk op 'bevoorrechte gebruikers', zoals IT-beheerders met systeemrechten. Ransomware-groepen spelen hierop in door juist medewerkers met 'zakelijke privileges' te viseren.

Een afdelingshoofd of financieel manager beschikt vaak niet over technische beheerdersrechten, maar heeft wel toegang tot facturen, klantcontracten, personeelsdossiers en budgetten. Zodra een account van een manager is gecompromitteerd, kunnen cybercriminelen deze zakelijke toegang gebruiken om gevoelige data te stelen, betalingen te manipuleren of druk uit te oefenen bij afpersing.

Uit het onderzoek kwamen enkele opvallende data naar voren:

Functieniveau: 62 procent van de gecompromitteerde accounts behoorde toe aan medewerkers met een functie op managementsniveau of hoger.

Kernafdelingen: Ongeveer 75 procent van de slachtoffers was werkzaam binnen vijf specifieke bedrijfstakken: Accounting & Financiën (17,7%), Sales (17,4%), Operations (16,8%), Human Resources en Marketing.

Sectoren: De helft van alle getroffen organisaties bevindt zich in de industriële sector (35,5%) of de IT-sector (14,6%).

Demografie: Gen X vormde met 44 procent de grootste groep slachtoffers. De gemiddelde leeftijd van de getroffen medewerkers was 46 jaar — een leeftijd waarop veel professionals een senior- of managementrol bekleden.

Industrie en IT extra hard getroffen

Dat juist de industriële en de IT-sector vaak doelwit zijn, is volgens de onderzoekers geen toeval. Uitval van operationele systemen in de industrie leidt direct tot stilstand in productie, distributie of logistiek, wat enorme financiële schade veroorzaakt. Bij IT-bedrijven krijgen aanvallers via managers accounts vaak direct zicht op intellectueel eigendom en klantplatformen. In beide gevallen vergroot de uitval de bereidheid van organisaties om losgeld te betalen.

Daarnaast constateerde ThreatLabz dat bij meer dan tien organisaties meerdere medewerkers tegelijkertijd werden gecompromitteerd. Dit onderstreept dat aanvallers na de eerste binnenkomst actief zoeken naar andere waardevolle accounts binnen hetzelfde netwerk.

Aanbevelingen voor beveiliging

Volgens Zscaler vereist de verschuiving in doelwitten een aanpassing van het beveiligingsbeleid. Omdat aanvallers door de inzet van AI steeds overtuigender phishing- en impersonatie-aanvallen kunnen uitvoeren, moeten organisaties hun verdediging rondom managementrollen aanscherpen.

Het cybersecuritybedrijf adviseert organisaties onder meer om externe communicatie via samenwerkingsplatformen als Microsoft Teams en Slack strikt te beperken en personeel beter te trainen op het herkennen van identiteitsfraude. Daarnaast wordt aangeraden om een strikt Zero Trust-netwerkmodel te hanteren met least-privilege access, waarbij medewerkers — ongeacht hun rang — uitsluitend toegang krijgen tot de applicaties en data die strikt noodzakelijk zijn voor hun dagelijkse werkzaamheden.