# Ransomware via de VPN: hoe bendes binnenkomen en hoe je het voorkomt > Hoe ransomwarebendes zoals Akira via VPN-toestellen binnenkomen, wat de campagnes tegen SonicWall en Cisco leren, en welke maatregelen een kmo neemt. **Ransomware via de VPN** is een van de best gedocumenteerde aanvalsroutes van de voorbije jaren. Bendes als Akira kwamen volgens het Amerikaanse CISA vaak binnen via een VPN zonder tweestapsverificatie, meestal door bekende lekken in VPN-toestellen van Cisco en SonicWall te misbruiken. Eenmaal binnen zoeken ze servers en back-ups, nemen ze gegevens mee en versleutelen ze bestanden. Deze gids legt uit hoe zo'n aanval in grote lijnen verloopt, zonder technische recepten, en welke maatregelen een zelfstandige of kmo neemt. **In het kort** 1. Volgens CISA had de ransomwarebende Akira tot eind september 2025 ongeveer 244 miljoen dollar aan losgeld opgehaald, vaak na een eerste toegang via de VPN. 2. In augustus 2025 linkte SonicWall een golf van aanvallen op zijn SSL-VPN aan het al gedichte lek CVE-2024-40766 en aan wachtwoorden die na een migratie niet waren vervangen. 3. Tweestapsverificatie, snelle updates, een netwerk waarin VPN-gebruikers niet overal bij kunnen en een back-up buiten bereik van de aanvaller breken de keten op verschillende plaatsen. *Of: waarom de inbreker van vandaag een badge heeft* Wie [zijn VPN beveiligt](/gidsen/vpn-voor-bedrijven/vpn-beveiligen/), sluit ook de route af die ransomwarebendes het liefst nemen. In zijn [advies over Akira](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a), voor het laatst bijgewerkt op 13 november 2025, schrijft CISA dat die bende vaak binnenkwam via een VPN zonder tweestapsverificatie, meestal door bekende lekken in toestellen van Cisco en later SonicWall te misbruiken. Dat is geen inbraak met een koevoet. Het is een login. Het goede nieuws zit in dezelfde zin. Tweestapsverificatie en updates sluiten precies die twee routes af. Wat daarna komt, een netwerk waarin niet iedereen overal bij kan en een back-up die de aanvaller niet bereikt, bepaalt hoe erg het wordt als het toch misgaat. ## Ransomware via de VPN: zo verloopt het, in grote lijnen ### Vier schakels Een ransomware-aanval is geen moment, het is een keten. Ruwweg: 1. **Binnenkomen.** Met een geldig wachtwoord (geraden, gestolen of gekocht) of via een lek in het VPN-toestel. 2. **Rondkijken.** De aanvaller zoekt servers, beheerdersaccounts en vooral back-ups. 3. **Meenemen.** Gegevens worden gekopieerd, om later met publicatie te kunnen dreigen. 4. **Versleutelen.** Bestanden en, als ze bereikbaar zijn, ook de back-ups. Elke schakel is een plek waar je de keten kunt breken. De VPN is de eerste, en dus de goedkoopste. Hoe groot het probleem is voor kleine zaken, staat in het Data Breach Investigations Report 2025 van Verizon: bij kleine en middelgrote organisaties speelde ransomware mee in 88 procent van de inbraken, tegenover 39 procent bij grote organisaties. Akira had volgens CISA tot eind september 2025 ongeveer 244 miljoen dollar aan losgeld opgehaald. Dat is veel geld. ### Wat SonicWall in 2025 leerde In augustus 2025 meldde SonicWall een golf van aanvallen op de SSL-VPN van zijn firewalls van de zevende generatie. In een [bericht van 4 augustus 2025](https://www.sonicwall.com/support/notices/gen-7-and-newer-sonicwall-firewalls-sslvpn-recent-threat-activity/kA1VN0000000RDG0A2), bijgewerkt tot 22 augustus, schreef de fabrikant dat het om minder dan veertig incidenten ging, dat er geen nieuw lek in het spel was, en dat er een sterk verband was met CVE-2024-40766, een lek dat al een jaar eerder was gedicht. Volgens CISA misbruikte Akira dat lek waarschijnlijk om binnen te komen. De les zat in een detail. Veel getroffen klanten waren van een oudere firewall overgestapt naar een nieuwe, en hadden daarbij de lokale accounts met hun wachtwoorden meegenomen zonder ze te vervangen. SonicWall raadde aan: - de firmware bij te werken naar versie 7.3.0 of later; - de wachtwoorden van alle lokale accounts met SSL-VPN-toegang te vervangen, zeker na een migratie; - tweestapsverificatie te verplichten; - de bescherming tegen botnets en de filtering op land van herkomst aan te zetten; - ongebruikte accounts te verwijderen. Een update dicht het lek. Ze maakt een wachtwoord dat al gestolen was niet ongedaan. ### Wat Cisco in 2023 zag Twee jaar eerder had Cisco hetzelfde patroon beschreven. In [augustus 2023](https://blogs.cisco.com/security/akira-ransomware-targeting-vpns-without-multi-factor-authentication) meldde het dat Akira-aanvallers Cisco-VPN's viseerden waarop geen tweestapsverificatie stond. Een opvallend detail: op een deel van de getroffen toestellen stond geen logging aan, waardoor niet meer te achterhalen viel hoe de aanvallers precies waren binnengekomen. > **Kmo-Kristof:** We hebben een back-up. Op de NAS. > > **Security-Sofie:** Die in hetzelfde netwerk staat als de server? > > **Kmo-Kristof:** Ja. Handig toch? > > **Security-Sofie:** Voor jou. En voor wie via de VPN binnenkomt. {.dialoog} ### Waar je de keten breekt Neem een transportbedrijf met 25 werknemers, een firewall met VPN voor de planners die van thuis werken, en een server met de ritplanning. Wat het bedrijf kan doen, per schakel: - **Binnenkomen:** tweestapsverificatie op elke VPN-login, updates binnen enkele dagen voor actief misbruikte lekken, geen gedeelde accounts. - **Rondkijken:** VPN-gebruikers komen alleen bij wat ze nodig hebben, niet bij het hele netwerk. Beheerdersrechten zijn persoonlijk en worden niet gebruikt voor dagelijks werk. - **Meenemen:** logboeken van de VPN en van de firewall gaan naar een plek buiten het toestel, zodat ongewone verbindingen opvallen. - **Versleutelen:** een back-up die offline staat of niet te wissen is, en die geregeld wordt teruggezet als test. CISA vraagt in zijn advies uitdrukkelijk om offline, versleutelde en onveranderlijke back-ups. ### Het eerste slot De schakel die het meest oplevert, is de eerste. Hoe je [een tweede factor instelt](/gidsen/vpn-voor-bedrijven/vpn-beveiligen/vpn-mfa/) en welke methode het sterkst is, lees je in een aparte gids. ### Badges die nog rondslingeren De SonicWall-campagne draaide om oude wachtwoorden op meegenomen accounts. Hoe je dat voorkomt, met persoonlijke accounts en een opruimronde bij elke migratie en elk vertrek, staat bij [VPN-accounts onder controle houden](/gidsen/vpn-voor-bedrijven/vpn-beveiligen/vpn-accounts/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).