Ransomware via de VPN: hoe bendes binnenkomen en hoe je het voorkomt

Of: waarom de inbreker van vandaag een badge heeft

Wie zijn VPN beveiligt, sluit ook de route af die ransomwarebendes het liefst nemen. In zijn advies over Akira, voor het laatst bijgewerkt op 13 november 2025, schrijft CISA dat die bende vaak binnenkwam via een VPN zonder tweestapsverificatie, meestal door bekende lekken in toestellen van Cisco en later SonicWall te misbruiken. Dat is geen inbraak met een koevoet. Het is een login.

Het goede nieuws zit in dezelfde zin. Tweestapsverificatie en updates sluiten precies die twee routes af. Wat daarna komt, een netwerk waarin niet iedereen overal bij kan en een back-up die de aanvaller niet bereikt, bepaalt hoe erg het wordt als het toch misgaat.

Ransomware via de VPN: zo verloopt het, in grote lijnen

Vier schakels

Een ransomware-aanval is geen moment, het is een keten. Ruwweg:

1. Binnenkomen. Met een geldig wachtwoord (geraden, gestolen of gekocht) of via een lek in het VPN-toestel.
2. Rondkijken. De aanvaller zoekt servers, beheerdersaccounts en vooral back-ups.
3. Meenemen. Gegevens worden gekopieerd, om later met publicatie te kunnen dreigen.
4. Versleutelen. Bestanden en, als ze bereikbaar zijn, ook de back-ups.

Elke schakel is een plek waar je de keten kunt breken. De VPN is de eerste, en dus de goedkoopste.

Hoe groot het probleem is voor kleine zaken, staat in het Data Breach Investigations Report 2025 van Verizon: bij kleine en middelgrote organisaties speelde ransomware mee in 88 procent van de inbraken, tegenover 39 procent bij grote organisaties. Akira had volgens CISA tot eind september 2025 ongeveer 244 miljoen dollar aan losgeld opgehaald. Dat is veel geld.

Wat SonicWall in 2025 leerde

In augustus 2025 meldde SonicWall een golf van aanvallen op de SSL-VPN van zijn firewalls van de zevende generatie. In een bericht van 4 augustus 2025, bijgewerkt tot 22 augustus, schreef de fabrikant dat het om minder dan veertig incidenten ging, dat er geen nieuw lek in het spel was, en dat er een sterk verband was met CVE-2024-40766, een lek dat al een jaar eerder was gedicht. Volgens CISA misbruikte Akira dat lek waarschijnlijk om binnen te komen.

De les zat in een detail. Veel getroffen klanten waren van een oudere firewall overgestapt naar een nieuwe, en hadden daarbij de lokale accounts met hun wachtwoorden meegenomen zonder ze te vervangen. SonicWall raadde aan:

• de firmware bij te werken naar versie 7.3.0 of later;
• de wachtwoorden van alle lokale accounts met SSL-VPN-toegang te vervangen, zeker na een migratie;
• tweestapsverificatie te verplichten;
• de bescherming tegen botnets en de filtering op land van herkomst aan te zetten;
• ongebruikte accounts te verwijderen.

Een update dicht het lek. Ze maakt een wachtwoord dat al gestolen was niet ongedaan.

Wat Cisco in 2023 zag

Twee jaar eerder had Cisco hetzelfde patroon beschreven. In augustus 2023 meldde het dat Akira-aanvallers Cisco-VPN’s viseerden waarop geen tweestapsverificatie stond. Een opvallend detail: op een deel van de getroffen toestellen stond geen logging aan, waardoor niet meer te achterhalen viel hoe de aanvallers precies waren binnengekomen.

Kmo-Kristof: We hebben een back-up. Op de NAS.

Security-Sofie: Die in hetzelfde netwerk staat als de server?

Kmo-Kristof: Ja. Handig toch?

Security-Sofie: Voor jou. En voor wie via de VPN binnenkomt.

Waar je de keten breekt

Neem een transportbedrijf met 25 werknemers, een firewall met VPN voor de planners die van thuis werken, en een server met de ritplanning. Wat het bedrijf kan doen, per schakel:

• Binnenkomen: tweestapsverificatie op elke VPN-login, updates binnen enkele dagen voor actief misbruikte lekken, geen gedeelde accounts.
• Rondkijken: VPN-gebruikers komen alleen bij wat ze nodig hebben, niet bij het hele netwerk. Beheerdersrechten zijn persoonlijk en worden niet gebruikt voor dagelijks werk.
• Meenemen: logboeken van de VPN en van de firewall gaan naar een plek buiten het toestel, zodat ongewone verbindingen opvallen.
• Versleutelen: een back-up die offline staat of niet te wissen is, en die geregeld wordt teruggezet als test. CISA vraagt in zijn advies uitdrukkelijk om offline, versleutelde en onveranderlijke back-ups.

Het eerste slot

De schakel die het meest oplevert, is de eerste. Hoe je een tweede factor instelt en welke methode het sterkst is, lees je in een aparte gids.

Badges die nog rondslingeren

De SonicWall-campagne draaide om oude wachtwoorden op meegenomen accounts. Hoe je dat voorkomt, met persoonlijke accounts en een opruimronde bij elke migratie en elk vertrek, staat bij VPN-accounts onder controle houden.