Dreigingsactoren uitgelegd: wie zit er achter een cyberaanval?

Als je het cybersecuritynieuws op NOS of Tweakers volgt, vliegen de termen je om de oren. De ene week heeft een “Russische staatshacker” het gemunt op een ministerie, de week erop legt een ransomwarebende een gemeente plat, en de dag daarna lekt een ex-werknemer gevoelige klantinformatie. In populaire media worden digitale aanvallers vaak op één hoop gegooid onder het stereotype van ‘de hacker’: een mysterieuze figuur in een zwarte hoodie die vanuit een verduisterde kamer willekeurige toetsen aanslaat. De werkelijkheid in het cyberdomein is echter vele malen georganiseerder en diverser.

Achter elke digitale aanval zit een mens, een team of een complete organisatie met een specifiek motief, een eigen werkwijze en een verschillend niveau van middelen. We noemen deze cyberaanvallers in ons vakgebied dreigingsactoren (threat actors). Om je netwerk en data effectief te beschermen, is het cruciaal om te begrijpen wie deze spelers zijn, hoe ze te werk gaan en wat hen drijft. Een opportunistische crimineel die met een kant-en-klare scanner op zoek is naar onbeveiligde servers vereist een heel andere risico-inschatting dan een door een staat gefinancierde spionagedienst die maandenlang ongemerkt in je infrastructuur rondhangt.

In deze hubgids duiken we diep in het digitale landschap van dreigingsactoren. We bouwen een heldere taxonomie van alle categorieën aanvallers, ontrafelen het mysterie rondom attributie in dreigingsrapporten van instanties zoals het NCSC, CISA en Europol, en leggen uit wat deze kennis concreet betekent voor jouw beveiligingsstrategie.

In het kort: Dreigingsactoren variëren van geavanceerde staatsgeheime diensten tot opportunistische script kiddies en nalatige insiders. Hoewel basishygiëne zoals patching en MFA beschermt tegen het leeuwendeel van de aanvallen, helpt kennis van specifieke actoren je om dreigingsmodellering en prioriteiten scherp te stellen. Op Hackerscollectief.nl analyseren we deze actoren uitsluitend vanuit een ethisch en verdedigend perspectief.

—

De Taxonomie van Dreigingsactoren: Wie zijn ze en wat willen ze?

Om structuur aan te brengen in het brede spectrum van digitale dreigingen, verdelen cybersecurity-analisten dreigingsactoren in verschillende categorieën. Deze indeling is gebaseerd op hun motieven, financiële middelen, technische vaardigheden en hun tactieken en technieken (Tactics, Techniques & Procedures, oftewel TTP’s).

1. Staatsactoren en APT’s (Advanced Persistent Threats)

Staatsactoren zijn cyberspionage- en cyberoperatie-eenheden die direct worden aangestuurd of gefinancierd door nationale overheden. In het vakjargon worden deze groepen aangeduid als Advanced Persistent Threats (APT’s). Termen als Advanced (gebruik van op maat gemaakte exploits en zero-days), Persistent (maanden of jaren ongemerkt aanwezig blijven) en Threat (gericht op hoogwaardige doelen) omschrijven hun karakteristieken.

Motieven: Geopolitieke spionage, diefstal van intellectueel eigendom (defensiegeheimen, hoogwaardige technologie), beïnvloeding van verkiezingen of het voorbereiden van digitale sabotage op vitale infrastructuur.
Werkwijze: Staatsactoren beschikken over omvangrijke budgetten en tijd. Ze voeren langdurige verkenningen uit, maken gebruik van supply chain attacks (binnendringen via leveranciers) en ontwikkelen unieke custom malware. Standaard beveiliging volstaat niet wanneer een APT jouw organisatie als specifiek doelwit kiest.
Context: In jaarrapporten van de AIVD, MIVD en het NCSC Cybersecuritybeeld Nederland (CSBN) wordt doorlopend gewaarschuwd voor de dreiging van statelijke actoren tegen de Nederlandse vitale sector en het innovatieve bedrijfsleven.

2. Ransomwarebendes en RaaS-affiliates

Ransomware is uitgegroeid van een eenvoudig computervirus tot een professionele miljardenindustrie. Moderne operaties werken volgens het Ransomware-as-a-Service (RaaS) model, waarbij een duidelijke taakverdeling bestaat:

RaaS-operators (ontwikkelaars): De kernbende die de gijzelsoftware ontwikkelt, de leksite onderhoudt en de cryptobetalingen beheert.
Affiliates (aanvallers): Onafhankelijke criminelen die de software huren om in te breken bij bedrijven, data te stelen en de ransomware te starten. De losgeldbetaling wordt verdeeld tussen affiliate en operator.
Initial Access Brokers (IAB’s): Tussenhandelaren die op grote schaal kwetsbare netwerken scannen, inloggegevens stelen en deze toegang verkopen op het darkweb.

Motieven: Zuiver financieel gewin via dubbele afpersing (double extortion): het versleutelen van bestanden én het dreigen met het publiceren van gevoelige bedrijfsgegevens.
Impact: Ransomwarebendes maken geen ethisch onderscheid; zowel multinationals als MKB-bedrijven, zorginstellingen en scholen worden getroffen. Wil je weten hoe dit mechanisme werkt en wat je direct moet doen bij een incident? Lees onze gidsen Ransomware uitgelegd: wat het is en wat je doet en Bestanden vergrendeld door ransomware: wat nu?. Voor een analyse van het bekendste ransomwarecollectief verwijzen we naar /lockbit-ransomware-collectief-uitgelegd/.

3. Hacktivisten

Hacktivisten zijn digitaal actieve groepen of individuen die cyberaanvallen inzetten als middel voor politiek, sociaal of ideologisch protest. De term vormt een samentrekking van hacking en activisme.

Motieven: Aandacht vragen voor een politiek standpunt, protest tegen overheidsbeleid, of het innemen van een positie in internationale conflicten.
Werkwijze: Hacktivisten gebruiken voornamelijk verstorende technieken, zoals Distributed Denial of Service (DDoS) aanvallen om websites onbereikbaar te maken, defacements (het aanpassen van homepages) of het openbaar maken van interne e-mails (hack-and-leak).
Impact: Hoewel de technische complexiteit vaak lager is dan bij APT’s, kan de reputatieschade voor getroffen organisaties aanzienlijk zijn.

4. Financieel gedreven Cybercriminelen (Opportunisten)

Dit is de breedste categorie aanvallers, variërend van individuele hackers tot criminele syndicaten die zich richten op het op grote schaal stelen van geld, inloggegevens of persoonsgegevens.

Motieven: Direct geldelijk gewin.
Werkwijze: Ze maken intensief gebruik van geautomatiseerde phishing-campagnes, Business Email Compromise (BEC / CEO-fraude), credential stuffing en het uitbuiten van bekende softwarekwetsbaarheden waarvoor nog geen patches zijn geïnstalleerd.
Datalekken: Een belangrijk nevenproduct is het stelen en verhandelen van databases. Grote incidenten tonen aan hoe kwetsbaar gegevens zijn bij ontoereikende beveiliging. Zie onze analyse van de Odido hack en wat we weten over het datalek of ontdek de tactieken van beruchte datadieven in /shinyhunters-datadiefstal-uitgelegd/.

5. Insiders (Dreigingen van binnenuit)

Een onderschat risico voor organisaties is de insider threat: dreigingen die voortkomen uit de eigen organisatie. We onderscheiden twee typen:

De kwaadwillende insider (Malicious Insider): Een medewerker, contractor of partner die bewust toegangsmachtigingen misbruikt. Motieven zijn financiële compensatie (omkoping), wraak na een arbeidsconflict of diefstal van intellectueel eigendom.
De nalatige insider (Careless Insider): Dit is de grootste groep. Medewerkers die zonder kwaad in de zin op een phishinglink klikken, zwakke wachtwoorden hergebruiken of gevoelige bestanden via onbeveiligde clouddiensten delen.

6. Script Kiddies en Amateur-hackers

Aan de basis van het dreigingslandschap staan de zogenaamde script kiddies. Dit zijn doorgaans onervaren individuen met beperkte kennis van netwerken of programmeren.

Werkwijze: Ze gebruiken kant-en-klare, gratis of goedkope tools en automatische scanningscripts die op internet te vinden zijn.
Risico: Omdat geautomatiseerde tools continu het internet afzoeken naar onbeveiligde systemen, vormt deze groep toch een reëel risico voor organisaties met een matige basishygiëne.

—

Hoe lees je Dreigingsrapporten? Attributie & Onzekerheid

Wanneer CISA, Europol of het NCSC een rapport publiceert over een cyberaanval, zie je zelden een claim van 100% zekerheid. In plaats daarvan gebruiken analisten formuleringen zoals “met hoge waarschijnlijkheid toegeschreven aan APT29” of “met gemiddelde betrouwbaarheid geassocieerd met RaaS-groepen”.

Waarom attributie zo complex is

Attributie — het aanwijzen van de dader achter een digitale aanval — is extreem lastig door drie factoren:

Anonimisering: Aanvallers werken via een keten van VPN’s, het Tor-netwerk en gekaapte servers (botnets) om hun herkomst te verhullen.
Valse vlaggen (False Flags): Geavanceerde actoren bouwen bewust misleidende sporen in hun software in, zoals vreemde taalfragmenten of afwijkende tijdzones, om onderzoekers op het verkeerde spoor te zetten.
Gedeelde tooling: Tegenwoordig gebruiken zowel legitieme pen-testers als criminelen en staatsactoren dezelfde frameworks, zoals Cobalt Strike of Metasploit. Het gereedschap alleen bewijst niet wie de gebruiker is.

Betrouwbaarheidsschalen

Inlichtingendiensten werken daarom met betrouwbaarheidsschalen:

Hoge waarschijnlijkheid (High Confidence): Gebaseerd op meerdere onafhankelijke bronnen (forensische data, menselijke bronnen of onderschepte communicatie). Het risico op een foute conclusie is minimaal.
Gemiddelde waarschijnlijkheid (Moderate Confidence): De informatie is geloofwaardig en aannemelijk, maar er ontbreken nog puzzelstukjes of alternatieve verklaringen zijn mogelijk.
Lage waarschijnlijkheid (Low Confidence): Gefragmenteerde of niet-verifieerbare informatie.

De rol van OSINT en Forensiek

Analisten combineren forensische data met Open Source Intelligence (OSINT) en het MITRE ATT&CK framework om gedragspatronen te herkennen. Wil je weten hoe openbare bronnen worden onderzocht? Bekijk onze gids OSINT uitgelegd: openbare bronnen onderzoeken. Voor praktijkgericht onderzoek verwijzen we naarons artikel over HTB Sherlocks: Blue Team forensiek in het Nederlands.

—

Wat betekent dit voor de Verdediger?

Sommige beheerders denken: “Als een staat mijn netwerk wil binnendringen, lukt dat toch wel. Waarom zou ik me verdedigen?” Dat is een verkeerde aanname.

Voor je basismaatregelen maakt de actor niet uit

Of een digitale inbreker nu een geavanceerde staatshacker is of een script kiddie: de manier waarop ze een netwerk binnenkomen is meestal identiek. Aanvallers kiezen altijd de gemakkelijkste weg. Het leeuwendeel van de aanvallen begint met:

Niet-gepatchte softwarekwetsbaarheden.
Phishing e-mails waarmee inloggegevens worden ontfutseld.
Het ontbreken van Multi-Factor Authenticatie (MFA).
Openstaande RDP-poorten of verkeerd geconfigureerde firewalls.

Een solide basisbeveiliging — zoals patches, verplichte MFA, netwerksegmentatie en immutable backups — beschermt je tegen 99% van alle opportunistische aanvallen en verhoogt de kosten voor geavanceerde APT’s aanzienlijk.

Voor dreigingsmodellering maakt het wél uit

Kennis van dreigingsactoren is essentieel voor dreigingsmodellering (threat modeling). Een lokaal MKB-bedrijf heeft een heel ander risicoprofiel dan een defensieleverancier. Het MKB krijgt vooral te maken met opportunistische ransomwarebendes, terwijl de defensieleverancier een doelwit is voor staatsactoren. Door te begrijpen wie jouw waarschijnlijke tegenstander is, kun je jouw beveiligingsbudget gerichter inzetten.

Lees voor inzicht in actuele dreigingen ons overzicht van het cyberdreigingslandschap en de trends die ertoe doen. Misverstanden over aanvallers ontkrachten we in onze top 10 hackermythes ontkracht.

Datalekken en AI

Wanneer een actor toch binnendringt, bepaalt de snelle opvolging de uiteindelijke schade en AVG-gevolgen. Zie onze gidsen Stappenplan datalek: wat te doen bij een vermoeden? en Datalek bij bedrijf: wat moet je doen?. Daarnaast omarmen actoren steeds vaker AI en LLM’s voor overtuigendere phishing en snellere exploitontwikkeling; lees hier meer over in AI en LLM security.

—

Rondleiding door dit Cluster

Deze hubpagina vormt het centrale punt van ons cluster over Dreigingsactoren op Hackerscollectief.nl. Via de onderstaande verdiepende artikelen kun je je kennis verder uitbouwen:

/dreigingsactoren/: De centrale hubgids over taxonomie, attributie en verdediging.
/lockbit-ransomware-collectief-uitgelegd/: Een casestudy over een beruchte RaaS-operatie en de internationale opsporingsacties ertegen.
/shinyhunters-datadiefstal-uitgelegd/: Een blik op een crimineel hackerscollectief dat verantwoordelijk is voor grootschalige datadiefstal.

—

Ethische Afbakening: Kennis om te Verdedigen

Bij Hackerscollectief.nl hanteren we het motto: Ethisch. Legaal. Nederlands. Het analyseren van dreigingsactoren dient uitsluitend om IT-professionals, MKB-ondernemers en studenten uit te rusten met kennis om systemen te beschermen.

Wij hanteren daarom strikte redactionele regels:

Geen werkende aanvalsinstructies: We publiceren geen werkende exploit-code of stappenplannen voor aanvallen.
Geen links naar illegaal materiaal: We linken nooit naar darkweb-fora, ransomware-leksites of gestolen datasets.
Focus op defensie: Al onze analyses zijn gericht op het herkennen van patronen en het versterken van de digitale weerbaarheid.

—

Kort samengevat

Gevarieerd speelveld: Dreigingsactoren variëren van staatsactoren (APT’s) en RaaS-ransomwarebendes tot hacktivisten, insiders en opportunistische script kiddies.
Attributie kent onzekerheid: Door anonimisering, gekaapte infrastructuur en valse vlaggen werken inlichtingendiensten met waarschijnlijkheidsgradaties (‘met hoge waarschijnlijkheid’) in plaats van harde garanties.
Basishygiëne is universeel: Patching, MFA, segmentatie en backups beschermen tegen de overgrote meerderheid van alle cyberaanvallen.
Threat modeling geeft focus: Kennis van relevante actoren helpt organisaties om prioriteiten te stellen in hun beveiligingsstrategie.
Ethische uitgangspunten: Kennis wordt uitsluitend gedeeld om organisaties te verdedigen, zonder aanvalsinstructies of links naar illegaal materiaal.

—

Wat kun je hier als organisatie mee? (Checklist)

Voer threat modeling uit: Bepaal welke typen dreigingsactoren het grootste risico vormen voor jouw specifieke organisatie.
Dicht de universele instaproutes: Verplicht MFA op alle externe toegangspunten en hanteer een strikt patchbeleid.
Beheer insider-risico’s: Hanteer het principe van Least Privilege en trek accounts van ex-medewerkers direct in.
Bereid je voor op ransomware en datalekken: Zorg voor werkende offline/immutable backups en een actueel incident response-plan.
Volg dreigingsinformatie: Raadpleeg periodieke rapporten van het NCSC, CISA en Europol om op de hoogte te blijven van nieuwe TTP’s.
Verhoog awareness: Train medewerkers in het herkennen van moderne phishing- en social engineering-technieken.

—

Verder lezen

Themacluster links: