Zakelijke VPN beveiligen: de toegangspoort die aanvallers zoeken

13 november 2026 · door Ben · 6 min leestijd

Een zakelijke VPN beveiligen begint bij het toestel dat de verbinding aanneemt: de firewall of VPN-gateway die vanaf het hele internet bereikbaar is. Zulke toestellen zijn een geliefd doelwit van ransomwarebendes en spionagegroepen. Volgens het Data Breach Investigations Report 2026 van Verizon is het misbruiken van kwetsbaarheden nu de meest gebruikte manier om binnen te dringen. Deze gids zet de maatregelen voor zelfstandigen en kmo’s op een rij: tweestapsverificatie, updates, persoonlijke accounts, logboeken, certificaten en wat NIS2 en CyberFundamentals vragen.

Of: waarom de personeelsingang van je netwerk ook de favoriete deur van inbrekers is

Wie een VPN voor zijn zaak gebruikt om thuis of onderweg bij de bestanden op kantoor te komen, heeft aan de rand van zijn netwerk een toestel staan dat verbindingen van buitenaf aanneemt. Dat toestel, meestal een firewall of een VPN-gateway, is sinds enkele jaren een van de favoriete doelwitten van aanvallers. Het Amerikaanse cyberagentschap CISA noemt zulke randapparaten uitgelezen doelwitten voor criminelen en voor groepen die door staten worden gesteund. Deze gids gaat over hoe een kleine zaak die deur afschermt.

Je VPN beveiligen: een deur aan de straatkant

Denk aan de personeelsingang van een winkel. Klanten gaan langs voren binnen, het personeel langs een deur aan de achterkant, met een badge. Die deur is handig, want je hoeft niet door de winkel. Ze heeft ook een eigenaardigheid: ze ligt aan een straat waar iedereen ter wereld mag passeren, op elk uur, en waar sommige voorbijgangers niets anders doen dan aan deurklinken voelen.

Een VPN-gateway is die deur. Hij moet bereikbaar zijn vanaf het internet, anders kan je thuiswerker niet verbinden. Daardoor is hij ook bereikbaar voor iedereen die het internet automatisch afzoekt naar VPN-portalen, en dat gebeurt dag en nacht. Er zijn grofweg twee manieren om zo’n deur open te krijgen: met een badge die je niet hoort te hebben, of via een fout in het slot zelf.

De badge is het wachtwoord. Wachtwoorden worden geraden, gestolen of gekocht, en een VPN zonder tweede factor laat iedereen binnen die het juiste wachtwoord intikt. De fout in het slot is een kwetsbaarheid in de software van het toestel. Dan helpt zelfs het beste wachtwoord niet, want de aanvaller komt binnen zonder dat hij ooit een badge moet tonen (wat, eerlijk gezegd, de hele zin van een badge ondermijnt).

Hoe vaak dat tweede gebeurt, is te meten. In het Data Breach Investigations Report 2025 van Verizon ging 22 procent van de misbruikte kwetsbaarheden over randapparaten en VPN’s, tegenover 3 procent een jaar eerder. In het rapport van 2026 is het misbruiken van kwetsbaarheden de meest gebruikte toegangsweg geworden, goed voor 31 procent van de inbraken waarvan die weg bekend is. Dit is geen paniekzaaierij. Het is boekhouding.

Een kleine zaak denkt vaak dat ze te klein is om op te vallen. Maar wie het internet afzoekt naar kwetsbare VPN-toestellen, kijkt niet naar de omzet van de eigenaar. Hij kijkt naar het versienummer van de firmware.

Kmo-Kristof: Onze VPN is veilig. Er zit een sterk wachtwoord op.
Security-Sofie: Op jouw account. En op dat van de boekhouder?
Kmo-Kristof: Dat weet ik niet. Maar de firewall is van een groot merk.
Security-Sofie: Dat vinden aanvallers ook interessant. Een groot merk staat in duizenden kantoren. Eén lek, duizenden deuren.
Kmo-Kristof: Dus ik moet een klein merk nemen?
Security-Sofie: Nee. Je moet updaten.

Vijf dingen die je deze maand kunt doen:

Zet tweestapsverificatie aan voor elke VPN-gebruiker, ook voor je IT-partner.
Kijk welke firmwareversie op je firewall staat, en of de fabrikant het toestel nog ondersteunt.
Schrap de VPN-accounts van wie vertrokken is.
Laat de logboeken van de VPN naar een andere plek sturen dan het toestel zelf.
Registreer je zaak gratis bij Safeonweb@work, zodat het Centrum voor Cybersecurity België (CCB) je verwittigt als er een kwetsbaarheid of besmetting op je IP-adressen wordt gemeld.

Geen van die vijf vraagt een nieuw toestel. Elk ervan krijgt een eigen gids.

Een tweede code bij de badge

Tweestapsverificatie is de maatregel met het beste rendement. Toen Cisco in augustus 2023 beschreef hoe de ransomwarebende Akira bij klanten binnenkwam, ging het om VPN’s zonder tweede factor. Welke methodes er zijn, en waarom een sms minder waard is dan een sleutel of een app met nummercontrole, lees je bij tweestapsverificatie voor elke VPN-login.

Als het slot zelf een fout heeft

Fortinet, Ivanti, Citrix, Palo Alto Networks, SonicWall en Cisco: elk van die fabrikanten had sinds 2023 lekken in zijn VPN-toestellen die actief werden misbruikt, soms al voor er een update bestond. Welke campagnes publiek gedocumenteerd zijn en wat ze gemeen hebben, staat bij waarom firewalls zo gegeerd zijn.

Het toestel dat niemand nog onderhoudt

Een update helpt alleen zolang er updates komen. In een bericht van november 2026 herinnert SonicWall eraan dat zijn firewalls van de zesde generatie en ouder geen ondersteuning meer krijgen. Hoe je weet wanneer jouw toestel aan de beurt is, en waarom een update niet altijd volstaat, lees je bij firmware bijhouden en vervangen.

Ransomwarebendes gebruiken de VPN graag als voordeur. CISA schrijft in zijn advies over Akira, voor het laatst bijgewerkt op 13 november 2025, dat die bende vaak binnenkwam via een VPN zonder tweestapsverificatie, meestal via bekende lekken in toestellen van Cisco en SonicWall. Hoe zo’n aanval ruwweg verloopt en waar je de keten breekt, staat bij ransomwarebendes en de VPN.

Eén badge per persoon

Een gedeeld VPN-account voor het hele team is handig, tot iemand vertrekt of tot er iets misgaat en niemand weet wie er ingelogd was. Hoe je accounts aanmaakt, opruimt en de standaardwachtwoorden van het toestel vervangt, lees je bij persoonlijke VPN-accounts zonder gedeelde logins.

De camera boven de deur

Een logboek houdt niemand tegen, maar het onthoudt wie binnenkwam. Bij de Akira-aanvallen van 2023 kon Cisco de precieze toegangsweg niet altijd achterhalen, omdat de getroffen toestellen geen logboeken bijhielden. Wat je bijhoudt, waar en hoelang, lees je bij wat je VPN moet bijhouden.

Een uur met je IT-partner

Wie zelf geen techneut is, kan toch de juiste vragen stellen. Een checklist voor je VPN zet er twaalf op een rij, van de firmwareversie tot de vraag wie de logboeken leest.

Wat de wet ervan vindt

Sinds 18 oktober 2024 geldt in België de NIS2-wet. Ze legt middelgrote en grote organisaties in achttien sectoren beveiligingsmaatregelen op, waaronder, waar gepast, multifactorauthenticatie. Ook een kmo die er zelf niet onder valt, kan er als leverancier mee te maken krijgen. Wie eronder valt en wat het CCB in zijn kader vraagt over toegang op afstand, lees je bij NIS2 en de CyberFundamentals.

Een badge die alleen op jouw laptop werkt

Een wachtwoord kun je doorgeven, raden of laten ontfutselen. Een certificaat dat vastzit op een bedrijfslaptop, veel minder makkelijk. Hoe server- en clientcertificaten werken, wat WireGuard met sleutels doet en waarom publieke certificaten steeds korter geldig zijn, lees je bij certificaten in plaats van wachtwoorden.