Minder Nederlandse bedrijven getroffen door cyberaanvallen, maar AI-dreigingen liggen op de loer

In Nederland zijn het afgelopen jaar minder bedrijven getroffen door een cyberaanval en hebben minder bedrijven schade geleden, zo blijkt uit onderzoek van bank ABN Amro en bureau MWM2. Dezelfde studie waarschuwt echter dat bedrijven slecht voorbereid zijn op een nieuwe golf van bedreigingen gedreven door AI, en te afhankelijk zijn van Amerikaanse technologiebedrijven.

Uit het onderzoek onder 777 organisaties bleek dat 60% van de kleine en middelgrote bedrijven werd getroffen door malware, phishing of een datalek, tegen 72% een jaar eerder.

Bij zelfstandigen daalde dit cijfer van 57% naar 48%, en bij grote bedrijven van 79% naar 76%. Het aandeel bedrijven dat daadwerkelijke financiële of operationele schade heeft geleden, daalde van 20% naar 15%.

Er werkte duidelijk iets, want het aantal aanslagen zelf was niet gedaald, zegt sectoranalist Julia Krauwer van ABN Amro tegen het Financieele Dagblad. Ze schreef de verbetering toe aan sterkere basisverdedigingen: firewalls, snellere detectie van verdachte activiteiten en betere wachtwoorden. ABN Amro, dat cybersecuritydiensten en verzekeringen aan bedrijven verkoopt, voert het onderzoek jaarlijks uit.

Data-aanvallen
De bevindingen komen te midden van een reeks spraakmakende hacks. Telecombedrijf Odido kreeg in februari te maken met de grootste inbreuk in de Nederlandse geschiedenis, waarbij gegevens van 6,2 miljoen huidige en voormalige klanten openbaar werden gemaakt. Medische softwareleverancier Chipsoft liet in april patiëntendossiers stelen en hackers namen diezelfde maand de persoonlijke gegevens van vrijwel alle 32.000 inwoners van het Gelderse Epe af.

Krauwer zei dat uit het onderzoek geen sterke toename van datalekken naar voren kwam en dat het toeval was dat meerdere grote Nederlandse bedrijven snel achter elkaar werden getroffen. Dergelijke incidenten trekken veel media-aandacht, zei ze, omdat ze rechtstreeks ingaan op de privacy van individuen.

Voorbereiding en waarborgen zijn onvoldoende, zo blijkt uit het onderzoek: slechts een kwart van de MKB-bedrijven heeft een plan klaar voor een cyberaanval en 43% heeft er geen. AI maakt aanvallen sneller en zwakke plekken gemakkelijker te vinden, zegt Krauwer, en maakt het voor criminelen eenvoudig om zich voor te doen als mensen.

Bijna een derde van de bedrijven maakt zich ook zorgen dat medewerkers die assistenten als ChatGPT en Claude gebruiken gevoelige gegevens kunnen lekken, maar toch heeft minder dan één op de tien MKB-bedrijven hier beleid over.

Afhankelijkheid van Amerikaanse technologie
Bijna de helft van de bedrijven meldde een sterke afhankelijkheid van enkele Amerikaanse cloud- en technologiegiganten zoals Microsoft, Amazon en Google – 35% van de zelfstandigen, 46% van het MKB en 60% van de grote bedrijven. Het rapport zegt dat dit een bedrijfsrisico is: de Amerikaanse overheid zou toegang tot gegevens kunnen eisen en providers zouden diensten kunnen blokkeren of wijzigen.

Deze zorgen weerspiegelen de politieke ruzie over DigiD, het inlogsysteem dat miljoenen mensen gebruiken voor overheidsdiensten, waarvan de exploitant Solvinity het kabinet om nationale veiligheidsredenen blokkeerde voor verkoop aan het Amerikaanse bedrijf Kyndryl. Op grond van de Amerikaanse Cloud Act kunnen Amerikaanse providers verplicht worden data over te dragen, ook als deze in Europa zijn opgeslagen.

Bijna tweederde van het MKB onderneemt nu stappen om hun afhankelijkheid te verminderen, waarbij ongeveer 17% gedeeltelijk is overgestapt op Europese alternatieven zoals een andere cloud, een lokaal AI-model of andere software, tegenover 12% van de grote bedrijven – waarvan Krauwer zei dat ze het moeilijker vinden om over te stappen.